Artikel Sql-injectie en XSS onvolledig over htmlspecialchars

[Johnny]

In het artikel reviews: Sql-injectie en xss: de beste verdediging wordt gesuggereerd dat het gebruik van htmlspecialchars() afdoende zou zijn bij het voorkomen van XSS. Dit is niet waar! Afhankelijk van de PHP-versie, de meegegeven parameters aan de functie, de gebruikte codering en de plaatsing binnen de HTML zijn er diverse exploits mogelijk!

Een lijst hiervan is hier te vinden:

http://blog.astrumfutura....hars-for-output-escaping/

Ik stel voor dat het artikel wordt aangepast om dit te vermelden aangezien het nu nog steeds een verkeerde oplossing promoot.

[ Voor 9% gewijzigd door Johnny op 19-03-2012 09:59 ]

[crisp]

Dus feitelijk gaat het om 2 dingen:

- afhankelijk van de manier van quoten in html moet je de juiste parameters opgeven voor htmlspecialchars (beter is natuurlijk om gewoon consequent double quotes te gebruiken voor html attributen)
- IE6 is een walking deathtrap (but who cares anymore?)

[Johnny]

Of als je om één of ander reden UTF-7 gebruikt (of laat gebruiken) dan gaat het alsnog mis in alle IE versies.

[crisp]

Johnny schreef op maandag 19 maart 2012 @ 10:34:
Of als je om één of ander reden UTF-7 gebruikt (of laat gebruiken) dan gaat het alsnog mis in alle IE versies.

mja, da's wel een heel uitzonderlijke situatie natuurlijk (en de auteur van het stuk dat je post merkt ook heel terecht op "JUST DON’T USE UTF-7! EVER!"). En daarbij is het dan nog steeds meer een browser-issue dan een coding-issue.

[etrans]

Het is niet mogelijk om dit artikel inclusief reacties af te drukken, de reacties worden niet afgedrukt, alleen het prima artikel...

http://tweakers.net/reviews/2531/all/sql-injectie-en-xss-de-beste-verdediging.html
Kan dit aangepast worden ?

Bedankt !

[crisp]

Als je rechts naast het artikel klikt op " Artikel printen" heb je een optie om het artikel inclusief reacties te printen

[daan.timmer]

Hier nog een betere uitleg waarom je niet moet en kan vertrouwen op htmlspecialcharacters:
http://stackoverflow.com/...y-php-code-safe-from-inje (eerste antwoord, onder de sql-injectie meuk)