过滤URL输出PHP

Question

确保网址如 javascript:alert('a'); 和VBScript一些变体等，没有被列入白名单https?|ftp That's easy enough: ^(?:https?|ftp):// 允许的，但我怎么能允许相对URL呢？ 如../../../blah和./blah也是/images/img.png

换句话说就是使用^(?:(?:https?|ftp)://|[./])安全吗？

我问周围和可能的解决方案是： parse_url

如果方案或方案== http或方案== HTTPS或方案== FTP或方案==至mailto

Answer 1

相反！使用正则表达式，你可以使用parse_url并检查方案为空或http之一，https和ftp：

$components = parse_url($url); 
if (!isset($url['scheme']) || in_array(strtolower($url['scheme']), array('http', 'https', 'ftp'))) { 
    // valid 
} else { 
    // invalid 
} 

Answer 2

另见：Sanitizing strings to make them URL and filename safe?

我想过滤的网址，例如去 到<a href=""或<img src=""

要小心，因为它可能只是一个属性的“突围” “以正则表达式开始”。例如，我公司可提供http://safeurl.com" onclick="alert('xss attack')，当插入到你的属性，你会：

<a href="http://safeurl.com" onclick="alert('xss attack')"> 

确保urlencode()价值以及你在做任何其他的安全性。

我可能会考虑反对允许../../relative/urls或可能使用parse_url作为Gumbo已建议。

查看关于OWASP.org的更多信息。