如何修复 PHP 输出字符串中的“网页中脚本相关 HTML 标签的不当中和（基本 XSS）”

Question

我有以下 php 代码

<?php 
$Output = '<table><thead><tr>';
$Output .= '<th>Display</th></tr></thead><tbody>'; 
for ($k = 0; $k < count($ColumnsInSQL); $k++) { 
    $Output .= '<tr><td>'.$KS_ResultSet_level[$k][strtoupper(trim($ColumnsInSQL[$k]))].'</td></tr>';
}
$Output .= '</tbody></table>';
echo $Output;
?>

最近我运行 Veracode 中的代码，我遇到了 "echo $Output;" 的问题。

谁能帮我解决这个问题？

Answer 1

使用htmlentities()对可变数据中的特殊字符进行编码。

$Output .= '<tr><td>'.htmlentities($KS_ResultSet_level[$k][strtoupper(trim($ColumnsInSQL[$k]))]).'</td></tr>';

如何修复 PHP 输出字符串中的“网页中脚本相关 HTML 标签的不当中和（基本 XSS）”

How to fix “Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)” in PHP output string

php

xss

veracode