网站被标记为谷歌欺骗性站点，是否因cross-site scripting导致？如何修复？

嘿，你的问题我看了，首先可以明确地说：你页面里的这段表单代码确实存在反射型跨站脚本（XSS）漏洞，这大概率就是你的网站被标记为欺骗性站点的原因！

为什么这段代码有问题？ #

你看这段表单里的email输入框：

<input name="email" type="text" id="email" size="40" value="<?php echo $_GET['email']; ?>"/>

这里直接把URL中的email参数（$_GET['email']）输出到输入框的value属性里，完全没有做任何转义处理。这就给恶意攻击者留了可乘之机：

• 攻击者可以构造一个包含恶意脚本的URL，比如 ?email=<script>偷取用户Cookie的恶意代码</script>
• 一旦有用户点击这个链接，浏览器就会执行这段脚本，可能会偷取用户的登录凭证、跳转钓鱼页面，甚至篡改网站内容

安全检测工具（比如浏览器内置的安全机制、谷歌安全浏览）会自动扫描这类可被利用的漏洞，一旦发现就会标记网站为欺骗/恶意站点。

怎么修复这个XSS漏洞？ #

这里给你几个具体的修复步骤，按优先级来：

• 对用户输入进行HTML转义：在输出用户输入的内容时，必须用PHP的htmlspecialchars()函数进行转义，把HTML特殊字符（比如<, >, ", '）转换成实体字符，这样浏览器就不会把它们当成HTML/脚本执行。修改后的代码应该是：

  <input name="email" type="text" id="email" size="40" value="<?php echo htmlspecialchars($_GET['email'] ?? '', ENT_QUOTES, 'UTF-8'); ?>"/>
  

  解释一下：

  • $_GET['email'] ?? '' 是为了避免当email参数不存在时出现PHP警告
  • ENT_QUOTES 会同时转义单引号和双引号，防止属性值中的注入
  • UTF-8 指定编码，避免出现乱码

• 验证输入格式：在输出之前先验证email参数是否符合邮箱格式，不符合的话就不要输出，或者显示默认值。可以用PHP的filter_var()函数：

  $email = $_GET['email'] ?? '';
  if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
      $email = ''; // 不符合格式就清空
  }
  // 然后输出转义后的$email
  

• 改用POST方法提交表单：把表单的提交方法从GET改成POST，这样用户输入的内容不会出现在URL里，不仅能降低XSS被利用的概率，还能提升数据安全性：

  <form action="proceesor.php" method="post">
  

  之后处理表单时用$_POST['email']，同样记得转义。

• 全面检查网站其他区域：除了这个表单，还要检查网站其他地方有没有直接输出用户输入的情况（比如搜索结果、评论内容、URL参数输出到页面等），这些都是XSS漏洞的高发区，都要做转义和验证。

修复完这些漏洞后，你可以提交网站到安全检测工具的重新审核入口，申请解除恶意站点标记。

内容的提问来源于stack exchange，提问作者Eric