XSS攻擊時是怎么繞過htmlspecialchars函數(shù)的？
網(wǎng)友解答: 很遺憾，只能在特定場景下才能繞過htmlspecialchars函數(shù)。htmlspecialchars() 函數(shù)把預(yù)定義的字符轉(zhuǎn)換為 HTML 實(shí)體，從而使XSS攻擊失效。但
很遺憾，只能在特定場景下才能繞過htmlspecialchars函數(shù)。
htmlspecialchars() 函數(shù)把預(yù)定義的字符轉(zhuǎn)換為 HTML 實(shí)體，從而使XSS攻擊失效。但是這個函數(shù)默認(rèn)配置不會將單引號( ' )過濾，只有設(shè)置了：quotestyle 選項(xiàng)為ENT_QUOTES的時候才會過濾掉單引號，但仍然可以通過單引號閉合某一個事件然后插入惡意的XSS代碼。
如下圖（圖來源自網(wǎng)絡(luò)，侵刪）