Могу ли я быть уязвимым для XSS в 6 персонажах

Question

Так что я пытался сделать, чтобы пользователи могли выбрать свой цвет фона в формате цветового кода HTML.

Тогда у меня будет обычай использовать их цвет фона, который они указали. Но у меня проблемы с одной маленькой проблемой. Я не могу использовать специальные символы HTML, которые они выбирают, потому что тогда HTML не прочитает его. Из-за этого я не хочу, чтобы у них был сайт XSS. Что мне делать, чтобы это исправить? Как мне обойти это?

Answer 1

Если ваши пользователи могут выбрать HEX-код, вы должны проверить ввод, который вы вернете, если это действительное шестнадцатеричное значение.

Итак, вы должны проверить, имеет ли он длину 6 символов, и если все символы действительны шестнадцатеричными числами (0-f). Для этого вы можете использовать ctype_xdigit. Все остальные входные значения должны быть отклонены, и вы можете передать шестнадцатеричное значение по умолчанию для вас в качестве цвета фона.

Не могу понять, почему вам нужны специальные символы html, если вы можете проверить свои входные данные.

Редактировать: И да, вы можете быть уязвимы для XSS с 6 символами. Длина здесь не имеет значения.