如何解决Fortify检测到的PHP反射型XSS漏洞？

问题本质 #

两组报告指向同一个**反射型跨站脚本（XSS）**漏洞：用户可控的$_GET['id']输入未经过安全的验证和输出编码，直接在HTML页面的input标签value属性中输出，攻击者可借此注入恶意脚本。原代码的验证逻辑存在缺陷，且输出环节未做针对HTML上下文的安全处理。

具体修复步骤 #

1. 重构输入验证逻辑 #

原代码的验证方式（str_replace($aValid, '', addslashes($_GET['id']))后检查ctype_alnum）逻辑颠倒，无法有效限制输入仅为允许的字符。需直接验证输入是否完全符合允许的字符规则：

假设允许的字符为字母、数字、下划线，用正则实现严谨验证：

$id = $_GET['id'] ?? 'default'; // 先处理未传参的情况

// 验证输入仅包含允许的字符
if (!preg_match('/^[a-zA-Z0-9_]+$/', $id)) {
    // 验证失败，强制设置安全默认值或终止流程
    $id = 'default';
}

注意：addslashes仅用于特定场景的SQL注入防护，对XSS无效，无需在验证阶段使用。

2. 输出时强制HTML编码 #

即使输入验证通过，输出到HTML上下文（如input的value属性）时，必须做HTML实体编码，彻底阻断脚本注入可能。使用PHP的htmlspecialchars()函数，指定合适参数适配场景：

原输出代码：

<input type="hidden" name="id" value='<?php echo base64_encode($id);?>'/>

修复后：

<input type="hidden" name="id" value='<?php echo htmlspecialchars(base64_encode($id), ENT_QUOTES, 'UTF-8');?>'/>

• ENT_QUOTES：同时转义单引号和双引号，适配当前value用单引号包裹的写法；
• 指定UTF-8：确保多字节字符正确转义，避免乱码或编码绕过。

3. 额外优化建议 #

• 若$id用于数据库查询，必须使用**预处理语句（PDO/mysqli_stmt）**防SQL注入，不要依赖addslashes；
• 验证失败时，不要继续使用非法输入，直接设置安全默认值或跳转至错误页面，避免恶意数据流入后续逻辑；
• 全局开启PHP的error_reporting，提前发现未处理的空参数问题。

原代码触发Fortify告警的原因 #

• 验证逻辑不严谨：原代码的替换+检查方式无法彻底拦截非法字符，存在绕过可能；
• 输出未做安全编码：即使经过base64编码，Fortify仍会识别为未做HTML转义的用户可控数据；
• 误用addslashes：该函数对XSS无防护作用，Fortify会标记这种无效的安全处理手段。

内容的提问来源于stack exchange，提问作者Pradeep T P