如何防止位于Javascript HREF属性中的XSS？

如何解决如何防止位于Javascript HREF属性中的XSS？

<a href='javascript:do_something("<?PHP echo $untrusted_input; ?>");'>Test</a>
<script>
    function do_something(str) {
        //...
    }
</script>

我想知道如何对变量$untrusted_input（例如在PHP中）进行编码，以避免执行XSS（javascript注入）？

在这种情况下，htmlspecialchars函数是不安全的，因为它用"替换了注入的"，但是HTML解析器仍会将"解释为有效的{ {1}}：

如果您尝试使用此代码，则会看到警报显示：

<a href='javascript:do_something(""+alert("injected")+"");'>Test 4</a> <script> function do_something(str) { //... } </script>函数也是不安全的，因为它在addslashes和'之前添加了斜杠，但没有对"进行编码，因此可以使用上面的示例进行转义

请注意，我以网络安全研究员的身份提出这个问题，我想知道我们可以轻松地解决此问题的方法吗？作为开发人员，我永远不会这样。

谢谢

解决方法

您可以使用元标记并将您的content-security-policy设置为禁止内联javascript：

<meta http-equiv="Content-Security-Policy" content="script-src 'self'">

有关更多信息，请参见CSP。