我当时正在查看这里,并且我了解反射- does (客户端XSS)并不通过服务器端脚本,而是反射XSS (服务器端XSS),但它们都不存储在数据库中。但是我对一个注入能做什么而另一个不能做什么感到困惑,XSS通过服务器端脚本与被注入客户端页面(脚本仍然在客户端运行)的危险是什么?此外,是否存在持久的DOM XSS(客户端XSS)注入,如果是这样的话?
<textarea> ...通常,这是防止XSS注入等的常用方法,但在本例中,我需要按原样发送和获取脚本标记。 有没有一种方法可以标记这个文本区域,让它有一种例外?或者以另一种方式,我可以防止通过xss_clean函数删除它?下面是来自xss_clean函数的一小段代码 public function xss_clean($str,