[PHP]Jak najlepiej zabezpieczyć stronę przed atakami XSS i CSRF? Opcje

[-Gość-]

Czy taki kod:

[PHP] pobierz, plaintext 
if (!empty($_POST)) array_walk_recursive($_POST, 'CleanTags');
if (!empty($_GET)) array_walk_recursive($_GET, 'RemoveXSS');
if (!empty($_COOKIE)) array_walk_recursive($_COOKIE, 'CleanTags');
if (!empty($_SERVER)) array_walk_recursive($_SERVER, 'CleanTags');
if (!empty($_SESSION)) array_walk_recursive($_SESSION, 'CleanTags');
if (!empty($_REQUEST)) array_walk_recursive($_REQUEST, 'CleanTags');
 
function CleanTags(&$val, $index) {
   $val = strip_tags($val);
}
[PHP] pobierz, plaintext 

jest dobrym zabezpieczeniem przede XSS i CSRF? Czy można to zrobić jakoś lepiej?

[wNogachSpisz]

Strona nie musi być podana na XSS żeby możliwe było przeprowadzenie ataku CSRF.
Nawet na forum php.pl można przeprowadzić niegroźny atak CSRF. Mogę np. spowodować, że Twoj login pojawi się na liście odwiedzjących mój profil. Wystarczy obrazek w treści posta który przekieruje na odpowiedni URL.

Ten post edytował wNogachSpisz 1.08.2012, 14:57:59