XSS korunması

htmlspecialchars() ve çıktı kaçışıyla XSS saldırısından korunmayı öğrenirsin.

XSS nedir?

XSS (cross-site scripting), saldırganın sayfaya JavaScript veya HTML enjekte etmesidir. Kullanıcıdan gelen veriyi echo ile kaçışlamadan yazdırırsan, kötü amaçlı <script> çalışır ve oturum çalıebilir.

Korunma: tarayıcıya giden tüm çıktıyı htmlspecialchars() ile kaçışla. Bu fonksiyon <, >, tırnaklar ve & işaretini HTML varlıklarına çevirir; tarayıcı bunları metin olarak gösterir, kod olarak çalıştırmaz.

ENT_QUOTES ve ENT_HTML5

Varsayılan olarak htmlspecialchars() yalnızca çift tırnağı kaçışlar. Tek tırnak da öznitelik değerlerinde tehlikeli olabilir. ENT_QUOTES bayrağı ile her iki tırnak tipini de dönüştürürsün.

ENT_HTML5 ise HTML5'e uygun varlıkları kullanır. Üçüncü argüman olarak "UTF-8" vermek encoding'i netleştirir. Modern projelerde her zaman ENT_QUOTES | ENT_HTML5 kullanmak en güvenli seçimdir.

Uygulama Kullanıcı girdisini güvenle yazdır

$userInput içinde kötü amaçlı bir script etiketi var. htmlspecialchars ile kaçışla; ikinci argüman ENT_QUOTES | ENT_HTML5, üçüncü argüman "UTF-8" olsun. Sonucu $safe'e ata ve echo ile yazdır.

Örnek çözümü göster

$safe = htmlspecialchars($userInput, ENT_QUOTES | ENT_HTML5, "UTF-8"); yaz. Sonra echo $safe . "\n"; ile yazdır.
Örnek çözüm:
<?php
$userInput = '<script>alert("xss")</script>';
$safe = htmlspecialchars($userInput, ENT_QUOTES | ENT_HTML5, "UTF-8");
echo $safe . "\n";

Kendini test et

htmlspecialchars çağrısını tamamla

$safe = ____($userInput, ENT_QUOTES | ENT_HTML5, "UTF-8");

Cevabı göster

$safe = htmlspecialchars($userInput, ENT_QUOTES | ENT_HTML5, "UTF-8");

XSS kavramlarını eşleştir

htmlspecialchars

Özel karakterleri kaçışlar
ENT_QUOTES

Tek ve çift tırnak
ENT_HTML5

HTML5 karakter seti
echo

Çıktı verir
Hangisi hem tek hem çift tırnağı kaçışlar?
- htmlspecialchars($s)
- htmlspecialchars($s, ENT_COMPAT)
- htmlspecialchars($s, ENT_NOQUOTES)
- htmlspecialchars($s, ENT_QUOTES)
Cevabı göster

htmlspecialchars($s, ENT_QUOTES) — Doğru. ENT_QUOTES her iki tırnak tipini de dönüştürür.

Sıradaki ders: CSRF token üretimi

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler