问esc_*函数在WordPress中是否足够安全？(像esc_url，esc_attr，esc_title)
EN

Security用户

提问于 2018-12-08 16:18:23

回答 1查看 226关注 0票数 0

WordPress有许多内置的验证/清理功能。然而，正如我们所看到的，这类群体有两种：

sanitize_* (像sanitize_key，sanitize_title，.)
esc_* (像esc_url，esc_attr，.)

我的问题是：esc_*函数在WordPress中是否足够安全？我是说，在这种情况下：

echo '';

这是否足够安全，或者我们仍然应该使用额外的消毒，比如：

sanitize_title(esc_attr( $_REQUEST['search_term'] ))

wordpress

回答 1

Security用户

回答已采纳

发布于 2018-12-08 16:35:24

在我看来，这些函数及其文档非常清楚这些函数应该在什么地方使用以及它们是做什么的。esc_属性转义HTML标记中的属性，消毒_标题清除标题并删除HTML、PHP等。由于属性(仅用于esc_attr)将被sanitize_title删除，所以在sanitize_title中使用esc_attr是没有意义的: HTML中的任何转义属性都将与完整的HTML标记一起删除。

esc_...和sanitize_...函数本身是安全的，只要它们被用于它们所设计的目的(并记录在案)。如果一个人试图使用esc_attr来转义一个URL等等，那么这就不符合文档的目的，而且很可能提供的不是预期的安全性。

票数 1

页面原文内容由Security提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://security.stackexchange.com/questions/199372

复制

相似问题

问esc_*函数在WordPress中是否足够安全？(像esc_url，esc_attr，esc_title)
EN

回答 1

Security用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问esc_*函数在WordPress中是否足够安全？(像esc_url，esc_attr，esc_title)EN

回答 1

Security用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问esc_*函数在WordPress中是否足够安全？(像esc_url，esc_attr，esc_title)
EN