php - ユーザー入力の出力 - xss の防止

Question

サイト内にアイテムを保存できる管理セクションがあります。それらが保存されると、フロントエンドに表示されます。私の表示の一部には、次のようなコードが含まれます。

echo "<p>".$rose['description']."</p>";

低レベルで xss から保護するために、これに htmlspecialchars を含める必要がありますか?

Answer 1

はい。もちろん、XSS攻撃を防ぐために、ユーザー入力を出力する前に、常にユーザー入力をサンティゼーションする必要があります。常にhtmlを出力する必要はないため、dbに保存する前ではなく、出力する前にユーザー入力をサニタイズする必要があることに注意してください。