PHP如何安全输出用户提交的URL并规避XSS注入风险？

问题背景 #

需求为允许网站访客提交URL链接并在页面输出，需提前处理URL避免XSS注入风险，现有代码经过两次修改后仍然存在编码异常和逻辑错误。

疑问1：rawurlencode的放置位置是否正确，$path是否需要编码 #

• 你当前对scheme和host加rawurlencode的操作完全错误：HTTP协议的协议头（http/https等）和域名/IP本身不允许存在需要转义的特殊字符，rawurlencode会把合法的.、协议字符串也转义，反而导致URL无法被正常识别。
• $path需要分段编码而非整体编码：parse_url返回的$path是用/分隔的多级路径，直接整体编码会把路径分隔符/也转义为%2F，导致路径失效。正确做法是把路径按/拆分成多个段，每一段单独用rawurlencode编码后再用/拼接。
  正确的路径编码示例：

  // 拆分路径段
  $pathSegments = explode('/', trim($path, '/'));
  // 对每个路径段单独编码
  $encodedSegments = array_map('rawurlencode', $pathSegments);
  // 重新拼接成完整路径
  $encodedPath = '/' . implode('/', $encodedSegments);
  // scheme和host无需编码，直接拼接
  $encodedHostPath = "{$scheme}://{$host}{$encodedPath}";
  

疑问2：新增表单逻辑后出现编码异常的原因 #

你新增的代码存在两处核心错误：

1. 条件判断逻辑完全写反
   你写的判断条件!ISSET($_POST['url1']) && empty($_POST['url1']) && !ISSET($_POST['url2']) && empty($_POST['url2'])代表「两个URL参数都未提交且都为空」的时候才赋值默认值，只有用户同时提交了两个非空参数才会走else分支。而且你把编码逻辑只放在了else分支里，默认场景下$encoded_url1和$encoded_url2变量未定义，会直接输出原始内容甚至抛出PHP未定义变量错误。
   修正后的判断逻辑：

   // 只要有一个参数未提交或为空，就使用默认值
   if(!isset($_POST['url1']) || empty($_POST['url1']) || !isset($_POST['url2']) || empty($_POST['url2'])) {
       $url1 = 'http://example.com/cat/subcat?var 1=value 1&var2=2&this other=thing&number is=138';
       $url2 = 'http://example.com/autos/cars/list.php?state=california&max_price=500008';
   } else {
       $url1 = $_POST['url1'];
       $url2 = $_POST['url2'];
   }
   // 统一对URL做编码处理，避免重复代码
   $encoded_url1 = encodedUrledited($url1);
   $encoded_url2 = encodedUrledited($url2);
   

2. HTML标签拼接不规范
   你拼接a标签时，href属性的值没有加双引号包裹，如果URL中存在空格等特殊字符会导致HTML属性断裂，触发XSS风险。修正后的输出代码：

   echo $link1 = '<a href="'.htmlspecialchars($encoded_url1).'">' .htmlspecialchars($encoded_url1) .'</a>';
   echo '<br/>';
   echo $link2 = '<a href="'.htmlspecialchars($encoded_url2).'">' .htmlspecialchars($encoded_url2) . '</a>';
   

内容的提问来源于stack exchange，提问作者Nut Cracking Dude