反射型XSS 之 防范

对于反射型XSS，在地址栏里的参数，比如page，被传递到服务器端的脚本，比如（PHP），再输出到客户端。

形如：

<?php$p = $_GET["page"];echo $p;?>

在防范这类XSS时，通常可以在服务器端对传入的参数进行过滤，来防范这类攻击。

形如以下伪代码：

<?phpfunction filter($str){将$str里可能造成跨站的特殊字符过滤掉，例如,<, >等。return $str;}$p = $_GET["page"];echo filter($p);?>