منع روابط javascript الخبيثة في href | الوقاية من ثغرات XSS وترميز المخرجات حسب السياق في PHP

لا يكفي استدعاء htmlspecialchars() على رابط أدخله المستخدم داخل <a href="...">؛ لأن الرابط الخبيث javascript:alert(1) لا يحتوي أصلاً على أي رموز خاصة في HTML!

عندما ينقر المستخدم على رابط يبدأ بـ javascript:... داخل href، ينفذ المتصفح كود JavaScript فوراً.
حلل دائماً الروابط المدخلة عبر parse_url($url, PHP_URL_SCHEME) واسمح فقط ببروتوكولي http وhttps في القائمة البيضاء.
تحقق كذلك من صحة بناء الرابط الكامل عبر filter_var($url, FILTER_VALIDATE_URL) قبل عرضه.

تستخرج دالة safeUrl() بروتوكول الرابط، وترفض أي شيء غير http أو https بإرجاع "#"، ثم ترمّز الرابط الصالح.

مخطط تدفق التنفيذ العملي لقسم منع روابط javascript الخبيثة في href في لغة PHP

PHP

<?php
function safeUrl(string $url): string {
    $scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
    if (!in_array($scheme, ['http', 'https'], true)) {
        return '#';
    }
    return htmlspecialchars($url, ENT_QUOTES, 'UTF-8');
}

echo "Attack : " . safeUrl("javascript:alert(1)") . "\n";
echo "Valid  : " . safeUrl("https://closetag.com/php") . "\n";

Blocking javascript URLs in Links منع روابط javascript الخبيثة في href

شرح صفوف ومحتوى الفقرة

جميع فقرات هذا الدرس (الوقاية من ثغرات XSS وترميز المخرجات حسب السياق في PHP)