安全地原样输出代码和 HTML 内容

[gangsta]

之前没有什么PHP的Web应用经验,然后想当然的用bootstrap的<pre>和<code>标签直接输出了表单里取到的值

结果:

1.<script>alert("");</script> 这样的脚本会被直接执行...
2.<span style="color:red">百度</span> 会输出一个红色的百度

刚好应该也有很多朋友看到了,就直接和大家讨论下跨域注入和原样输出的问题吧.

在上面的例子中,如何保证:
1.<script>alert("");</script> 可以被原样输出且不被执行?
2.<span style="color:red">百度</span> 被原样输出且CSS样式不会被渲染呢?

[nervouna]

http://cn2.php.net/htmlspecialchars

[slixurd]

转义以后保存,然后直接读出就好了

[superbear]

@slixurd 转义后直接读出来，可能会让样式乱掉，比如用户提交</script>****之类的，错误地关闭前面的某个标签，样式就会乱

[manhere]

@superbear 没有这个顾虑吧？因为连<>这些符号都被转义了，不存在错误闭合

[sneezry]

http://www.w3school.com.cn/php/func_string_htmlspecialchars.asp