论 strip_tags() 函数防止js脚本注入的作用

[sinmu]

为什么会想到这个呢？因为关于 strip_tags() 函数的作用，官方手册上说是可以去除 HTML 和 PHP 标记

我就在想说不定可以防止 script 标签
我用下面的代码在web页面测试了一波，的确和我预测的是一致的。

$a = '<script>alert(1)</script>';
// 理论上是会出现弹窗
echo $a;
// 这里如果使用strip_tags() 过滤的话，依旧会出现弹窗行为
$a = '<script>javascript:alert(1)</script>';
// 出现alert(1)
echo strip_tags($a);

那么我是不是可以下定结论，strip_tags() 可以过滤 script 标签呢？这个我也不敢确定，因为我不熟悉js

期待更多脚本注入相关的论点。。。

[sinmu]

@sinmu 防止 xss 可以在页面输出时用 htmlspecialchars () ，如果需要输出 HTML ，则使用 github.com/ezyang/htmlpurifier

[sinmu]

这里有了新的进展，似乎不太行的样子。
比如<<a>script>alert('ciao');<</a>/script>用strip_tags 过滤的话，只会将a标签过滤，过滤之后返回成了一个script脚本。