Función para prevenir ataques XSS

[xIamAlex]

Buenas amigos del foro, acá hice una función que evita ataques XSS para un sistema web que estoy desarrollando, después de que consulte todo tipo de información de la BD ingresada directamente por el usuario, ésta reemplazará los caracteres más simples que permitan la interpretación de código HTML, me pregunto si estará bien o si necesito cuidarme de algo más. Favor díganme que tal está y si es segura, la verdad es muy simple:

Código PHP:

      function PreventXSS($String)
    {
        $Find = array('&', '<', '>', '/');
        $Replace = array('&#38 ;', '&#60 ;', '&#62 ;', '&#47 ;');
        $NewString = str_replace($Find, $Replace, $String);
        
        return $NewString;
    }  
   

Saludos .

NOTA: En el replace los caracteres son entidades HTML, pero la página del foro los interpreta como caracteres normales.

[abimex]

usando PDO es mas seguro y no ocupas ninguna funcion adicional
aca hay un ejemplo http://stackoverflow.com/a/60496/1456961

Saludos

[xIamAlex]

Yo uso prepared statements, y ni sabía que estos también evitaban ataques XSS

¡Gracias por el aporte !

[GatorV]

Eso es para SQL Inyection, no para XSS, para prevenir XSS te recomiendo esta:

http://www.forosdelweb.com/f18/aport...ar-xss-948577/

Saludos.

[xIamAlex]

Sí, ya empezaba a dudar, además acabo de probar una salida directa de la base de datos y si se pueden hacer XSS, pero sin embargo creo que implementaré la que me recomendaste Gator, ¡Mil gracias a los dos!

[abimex]

Iniciado por GatorV

Eso es para SQL Inyection, no para XSS, para prevenir XSS te recomiendo esta:

http://www.forosdelweb.com/f18/aport...ar-xss-948577/

Saludos.

cierto, me confundí XD

[jlmurgas]

Yo estoy utilizando estas lineas que me encontre por ahi:

Código PHP:

  function SanitizeInputXSS($dirty_input) { 
      return htmlspecialchars(rawurldecode(trim($dirty_input)), ENT_QUOTES,'UTF-8'); 
 } 
 
$name = SanitizeInputXSS($_POST['name']);  
   

Mi problema es con los acentos y la ñ, en la base de datos me lo guarda con simbolor raros :/


si alguien sabe como solucionarlo se lo agradecere