제목과 내용이 상반 되는것 아닌가요.

제가 머리가 안 좋은가 봐요..

$_SERVER['PHP_SELF']의 XSS 취약점
- PHP_SELF는 현재 실행 중인 스크립트의 경로를 반환하지만, URL에 추가된 경로 정보도 포함될 수 있어 공격자가 <script> 태그를 삽입할 수 있습니다.
- 예: http://example.com/index.php/<script>alert('XSS')</script>
이 경로가 그대로 출력되면 XSS 공격이 발생할 수 있습니다.

$_SERVER['PHP_SELF']를 사용할 때는 반드시 htmlspecialchars()로 이스케이프 처리

htmlspecialchars($_SERVER['PHP_SELF'], ENT_QUOTES, 'UTF-8');

function is_logged_in() {
    return isset($_SESSION['mb_id']) && !empty($_SESSION['mb_id']);
}

<?php
session_start();

// 현재 페이지 이름 가져오기 (보안 위해 htmlspecialchars 적용)
$current_page = htmlspecialchars(basename($_SERVER['PHP_SELF']), ENT_QUOTES, 'UTF-8');

// 예외 페이지 목록
$exceptions = ['register.php', 'register_form.php'];

// 로그인 여부 확인 함수 (세션 기반 인증)
function is_logged_in() {
    return isset($_SESSION['mb_id']) && !empty($_SESSION['mb_id']);
}

// 로그인 안 된 상태에서 예외 페이지가 아닐 경우 로그인 페이지로 리디렉션
if (!in_array($current_page, $exceptions)) {
    if (!is_logged_in()) {
        // 내부 경로만 허용하도록 URL 하드코딩
        header("Location: /bbs/login.php");
        exit;
    }
}
?>

감사합니다 ^^

감사합니다.