我想问一个问题，什么是防止跨框架脚本的最佳保护？我已经将我的web服务器设置为将这些标志添加到HTTP报头中：X-Content-Type-Options: nosniff够了吗？还是有更多的保护措施可供使用？
我的web应用程序正在IIS上运行。
浏览 0提问于2015-09-15得票数 4
2回答
我需要加载一个用户给定的URL，并在用户给定的网站内容之后显示带有我内容的div。$c = file_get_contents($url); 但是，这不会使我的服务器面临各种安全问题，比如XSS吗？如果是这样的话，考虑到我希望能够尽可能地显示用户给定URL的内容(即运行所有安全脚本)，处理这个问题的最佳方法是什么。
浏览 2提问于2014-09-02得票数 0
回答已采纳
我有一个带有.net web的aurelia应用程序。
${commentText}如果不使用
浏览 1提问于2017-08-18得票数 1
通过htmlentities方法传递数据后，我们将数据保存在数据库中，以避免任何注入攻击
在使用它的同时，我们执行html_entity_decode以获取原始值。在某些情况下，在我们的代码中，由于我们的保存技术(很难解释)，htmlentities在相同的数据块上执行了2-3次。因此，我们基本上希望避免对同一字符串进行多次编码。有没有一种可靠的方法来检测字符串是否已经通过
浏览 0提问于2021-07-12得票数 1
4回答
如果我对网站用户输入的任何数据进行HTML编码，当我重新显示它时，这是否可以防止CSS漏洞？
另外，有没有工具/产品可以帮我清理我的用户输入，这样我就不必编写自己的例程了。
浏览 0提问于2008-10-21得票数 2
1回答
我真的很困惑基于dom的XSS攻击。我只想保护在我的JS应用程序中被输出到dom (使用innerHTML)的任何服务器检索的数据。转义HTML实体或转义引号以获得安全属性，等等。然后我读到了基于dom的XSS，我不知道它和仅仅转义HTMl有什么不同。在这个表中，您可以看到一个基于dom的XSS示例：
<script>
浏览 0提问于2016-05-10得票数 2
2回答
我正在ASP.NET MVC C#上开发一个C#应用程序，我很好奇使用存储过程/函数是否可以阻止SQL和xsxx攻击？我想对用户输入的数据进行某种消毒，但我不知道他们最好的方法是什么。如果我需要进行一些数据清理，那么最好的方法是什么呢？
浏览 2提问于2016-06-15得票数 0
回答已采纳
作为完美主义者，我们希望在我们的观点中使用真正的排版:破折号，卷曲引号，省略号等。
使用HTML字符实体(‘-等)。更容易输入，并且可能与行为不当的软件更兼容。我宁
浏览 6提问于2010-08-13得票数 25
回答已采纳
我想从JavaScript代码中访问PHP变量中的数据。一张(旧的) OWASP备忘单建议在访问它之前将其嵌入到HTML中，这样的方法如下：几个 SE 答案引用该备忘单，但建议将script>
但在这种情况下，htmlspecialchars甚至是必要的吗？根据MDN的说法，这是一个“不会被浏览器处理的数据块”。
浏览 0提问于2022-04-20得票数 2
1回答
考虑申请：在全球范围内从XSS保护整个系统的正确方法是什么？第一件事是保护前端的web组件，避免从输入字段中公开HTML实体。
第二件事是防止后端服务创建HTML模板(例如HTML邮件)，这些模板将包含来自用户字段的恶意值。想象这样<
浏览 1提问于2017-05-05得票数 1
回答已采纳
2回答
由于document.cookie获得了当前的网页cookie，如果我将我的XSS有效负载放在一个网址缩短器网站中，它将无法工作，对吗？我的意思不是网址缩写是故意的，我是说它是使用短网址的副作用吗？
浏览 0提问于2019-08-03得票数 3
回答已采纳
假设我有这样的东西：var string = '<?= $_GET['var'] ?>';为了防止XSS，我希望确保单引号被转义。addslashes可以做到这一点，但人们仍然可以通过将$_GET['var']设置为来突破这一点。这就是我要逃脱的全部吗？
我想像这样的攻击现在变得更难了，因为浏览器经常禁止运行显示在GET<e
浏览 23提问于2017-02-24得票数 2
1回答
我的一个用户有一个带斜杠的地址(想想Main Street 3211/2)。目前，我们过滤掉了斜杠，这使得这个用户的地址在我们的系统中无效。如何才能允许此地址通过，而不禁用此特定地址的验证或全局允许斜杠(这是一个巨大的安全风险)？有没有一种方法可以对斜杠进行编码，将其放入数据库中，并在检索时将其编码回斜杠？
谢谢!
浏览 2提问于2015-04-27得票数 0
2回答
我试图返回一个原始的html作为ajax响应，这是返回响应的函数： res.render('partial/messages', { layout: false res.set('Content-Type', 'text/html
浏览 13提问于2019-03-07得票数 0
回答已采纳
2回答
安全的XSS清洁功能(定期更新)
、、、、
我已经在网上搜索了几天，试图弄清楚这一点，但得到了相互矛盾的答案。
然后我将用PDO准备的语句将其保存到数据库中。NB:在用例1中可能已经或者没有通过过滤步骤，因为它可能是一种不同类型的输入，所以假设没有进行消毒。那么，如何正
浏览 1提问于2011-06-17得票数 15
回答已采纳
2回答
我被告知要使用(Python)的cgi.escape()函数来避免sql注入和xss攻击，尽管我确信django会自动转义变量。在阅读有关此类攻击的文章时，我觉得分号的作用对于注入sql和javascript都是至关重要的。但是，cgi.escape似乎没有对分号进行编码，因此没有对分号进行编码。而其它不太不祥的字符被转换成html实体。
为什么会这样呢？把；编码成像≻这样的东西难
浏览 0提问于2011-03-14得票数 0
2回答
哪种方法能更好地防止XSS攻击？这是我想要做的代码。或
在这个方法中，我必须用‘strip_tag’来更改许多表单元素。
浏览 3提问于2013-08-28得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
云直播活动推荐
腾讯云开发者
