PHP filter_var для URL против XSS атак

Question

Вот моя функция:

function is_url($url) { 
    return (preg_match('#^(https?):\/\/#i', $url) && (filter_var($url, FILTER_VALIDATE_URL) !== FALSE)); 
} 

А вот хороший URL, что он проверяет, как верно:

http://blah.com"onclick="alert(document.cookie) 

Представьте себе, если это входит в <a href="<?php echo $url; ?>">

Есть ли лучшие валидаторы URL с регулярным выражением? Или URL-адрес, который я тестирую, с действительно действующим URL (в этом случае мне нужна функция очистки XSS)?

Answer 1

Там эта встроенная filter:

filter_var($url, FILTER_VALIDATE_URL); 

Это возвратит false с примера URL. Если бы это было действительно, оно вернуло бы $url. Пример:

 
glopes@nebm:~$ php -r "var_dump(filter_var('http://blah.com\"onclick=\"alert(document.cookie)', FILTER_VALIDATE_URL));" 
bool(false) 

В любом случае, решение для предотвращения XSS заключается в использовании htmlspecialchars. Так как это атрибут, вы должны использовать ENT_QUOTES:

htmlspecialchars($data, ENT_QUOTES); 

Но вы должны также проверить URL, поскольку в противном случае пользователь может включать в себя javascript: -как «URL».