Concernant la prévention des attaques XSS, l'encodage HTML lors des saisies de l'utilisateur ? Encodage HTML lors de la sortie de la page ? Quelle solution est la meilleure ?

Question

Par exemple :
Concernant la prévention des attaques XSS, l'encodage HTML doit-il être effectué lors de la saisie de l'utilisateur ? Encodage HTML lors de la sortie de la page ? Quelle solution est la meilleure ?

Personnellement, je pense qu'il est plus pratique d'encoder lors de la saisie, car il y aura plus de pages avec du contenu de sortie, et il est facile de manquer lors de l'encodage à chaque fois. Cependant, dans les applications réelles, il semble que l'encodage lors de la sortie. est-ce plus pratique ?

Answer 1

Pour le filtrage XSS, n'oubliez pas que
doit être filtré côté serveur ! ! ! ! ! ! !
Assurez-vous de filtrer lors de la sortie ! ! ! ! !

Answer 2

Côté serveur : Écrire l'échappement de la bibliothèque, échapper lors de l'affichage

Answer 3

Je m'échappe généralement lorsque je tape pour empêcher l'injection SQL