PHP和CGI的跨站脚本攻击防范措施及实现方法

// PHP过滤特殊字符
function filter_input($input) {
  return htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
}

// PHP验证输入长度
function validate_input($input, $min_len, $max_len) {
  $input_len = mb_strlen($input, 'UTF-8');
  if($input_len < $min_len || $input_len > $max_len) {
    return false;
  }
  return true;
}

// CGI过滤特殊字符
sub filter_input {
  my ($input) = @_;
  $input =~ s/</</g;
  $input =~ s/>/>/g;
  $input =~ s/'/&apos;/g;
  $input =~ s/"/"/g;
  return $input;
}

// CGI验证输入长度
sub validate_input {
  my ($input, $min_len, $max_len) = @_;
  my $input_len = length($input);
  if($input_len < $min_len || $input_len > $max_len) {
    return 0;
  }
  return 1;
}

// PHP输出编码
function output_encode($output) {
  return htmlspecialchars($output, ENT_QUOTES, 'UTF-8');
}

// CGI输出编码
sub output_encode {
  my ($output) = @_;
  $output =~ s/</</g;
  $output =~ s/>/>/g;
  $output =~ s/'/&apos;/g;
  $output =~ s/"/"/g;
  return $output;
}

// PHP设置Content-Security-Policy头
header("Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'");

# CGI设置Content-Security-Policy头
print "Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'
";

// PHP设置session安全参数
session_set_cookie_params(0, '/', '', true, true);
session_regenerate_id();