要防止跨站攻擊，以下需要做的是什么?【網(wǎng)絡(luò)測(cè)試常見問題】

　　要防止跨站攻擊，以下需要做的是()。(選擇三項(xiàng))

　　A.永遠(yuǎn)不要使用include和require引入靠用戶輸入決定路徑的文件(如include"$username/script.txt";)

　　B.除非網(wǎng)站需要，否則關(guān)閉allow_url_fopen

　　C.避免使用如curl這類用來打開遠(yuǎn)程連接的擴(kuò)展庫。

　　D.使用類似strip_tags()一類的函數(shù)過濾一個(gè)用戶輸入給另一個(gè)用戶看的內(nèi)容

　　E.以上都對(duì)

　　答案：A、B、D。

　　如果用戶通過篡改URL來修改$username變量，并且allow_url_fopen是打開的，那么PHP將會(huì)下載某臺(tái)非信任的遠(yuǎn)程服務(wù)器上的script.txt文件，并把它當(dāng)作本地PHP腳本來執(zhí)行。所以不要使用include和require的方式引用文件，也盡量關(guān)閉allow_url_fopen。所以，選項(xiàng)A選項(xiàng)B正確。

　　對(duì)于選項(xiàng)C，如果需要在PHP中打開遠(yuǎn)程連接受信任的擴(kuò)展庫，則使用curl方法是可以的。所以，選項(xiàng)C錯(cuò)誤。

　　對(duì)于選項(xiàng)D，一個(gè)用戶輸入的內(nèi)容給另一個(gè)用戶看時(shí)是需要使用strip_tags()函數(shù)過濾HTML標(biāo)簽的，有效防止造成跨站攻擊或者瀏覽器bug。所以，選項(xiàng)D正確。

　　所以，本題的答案為A、B、D。

以下是黑馬程序員公開的幾套軟件測(cè)試教程，可以下載跟著學(xué)學(xué)習(xí)，如果想轉(zhuǎn)到軟件測(cè)試行業(yè)，找到軟件測(cè)試工作，推薦報(bào)班學(xué)習(xí)黑馬軟件測(cè)試課程。