如何防止wordpress站点中的XSS漏洞

当我直接在url栏中输入https://example.com/?trigger=*/</script><script>alert(1)</script>时，它会提示警告框。如何防止wordpress站点中的XSS漏洞

如何解决这个WordPress的网站？

我试过一些像安全头，html净化器等插件，但没有成功。

如何防止这些类型的漏洞？

在代码中如何处理'trigger'参数？我没有在标准的WP-install上得到这种行为。为防止XSS，您需要在将变量发送到客户端之前过滤变量，就像您需要处理任何用户提供的数据（WP或无WP）一样。例如：'htmlentities（）'。 –

@MagnusEriksson触发器未尝试在代码中处理。我只是写在URL中，它给出了警报框 –

Hm。我无法重现那种行为。你有没有可能使用变量错误（未转义）的插件？ –

有很多方法可以阻止XSS在您的网站上，您可以阻止某些输入，如特殊字符（<，>，/，），并且只允许公共用户在提示时输入信息。这里是一个伟大的文章阅读，以增长知识，因为有时你不能总是找到一个插件来解决您的问题:)

P.S它还列出了更多的预防方法。

2017-08-01 14:33:31

回答