是否将 preg_replace() 输入列入白名单？

Question

白名单涉及哪些输入以防止 html 和 xss 注入？

从我收集到的 preg_replace 与正则表达式是一个好的开始。还有什么？

Answer 1

净化输出比净化输入更容易。每次数据从一个上下文传递到下一个上下文时应用正确的转义。例如，在将数据传递到数据库时应用mysqli_real_escape_string（如果您使用的是 MySQLi 扩展），在将数据输出为 HTML 时应用htmlspecialchars等等。