web安全 之 xss防御

1、设置HttpOnly，js无法获取cookie（推荐）

1.1、php设置cookie时

setcookie('username','mark0923',null,null,null,null,true);

2、过滤输入

htmlspecialchars函数，将html标签转换成特殊字符

例如

$text = htmlspecialchars($_POST['text']);

3、过滤输出

htmlspecialchars函数，将html标签转换成特殊字符

例如

echo htmlspecialchars($text);