read : 웹언어로 웹페이지를 코딩 할 때의 필수 규칙. : 기술 #weblang::공대여자홈

#weblang

웹페이지는 기본적으로 HTML로 구성하며

웹언어로 만들더라고 마지막 출력물은 HTML

즉, HTML을 잘 만드는게 목표?

이 게시물은 HTML+PHP 를 기준으로 설명을 합니다.

<,>,&,",' 등이 엔티티로 바꿔서 출력된다.
사용 안하여 그대로 출력될 경우,
XXS 등의 공격을 받을 수도 있다.
<input name="search" type="text" value="<?=$_GET['search']?>" />
->
<input name="search" type="text" value="<?= htmlspecialchars($_GET['search'])?>" />
PHP의 값을 HTML로 출력한다면 꼭 사용하라!

$PHP_SELF(= $_SERVER['PHP_SELF']) 은 현재의 URL의 웹 파일 경로를 나타내기 위한것이지만
form 태그의 action에서 <form action=""> 처럼해도 현재의 URL을 나타낸다.(HTML규칙에 위배되지도 않는다!)
즉, 빈값이 현재 페이지를 의미한다.
$PHP_SELF 가 문제가 되는 이유는
http://xxxx.com/test.htm/'"><script>{{스크립트코드}}</script>?test=test1 (굵은 부분이 경로 조작)
위처럼 할 경우 $PHP_SELF는 /test.htm/'"><script>{{스크립트코드}}</script> 가 되버려서
결과적으로
<form action="/test.htm/'"><script>{{스크립트코드}}</script>" >
처럼 되어서
{{스크립트코드}}가 실행되어 버린다.
여기서도 htmlspecialchars()를 사용했다면 에러는 나겠지만, {{스크립트코드}}는 동작되지 않는다.
꼭 써야한다면, htmlspecialchars()를 사용하라! 제발...좀...
문제점 (XXS)

No	제목	작성자	등록	조회
공지	[기본형] HTML (with 부트스트랩5.3 , jquery 3.7, vue.js)	공대여자	02/06 13:44	3531
공지	유용한 리눅스(LINUX) 명령어	공대여자	03/03 14:47	13031
공지	[공지] 기술 게시판	mins01	06/24 15:10	13275