问：管理员您好！
网站jwxx.taxx.cn 经360检测，有以下漏洞，上级主管部门要求网站必须通过此项检测，请帮我处理修复一下，谢谢！
在PHP.INI文件中配置 session.use_only_cookies = 1。该选项让管理员能够避免用户被攻击。默认值为 0. 注：1. 请确认修改的 php.ini 文件是当前网站使用的，您可以使用 phpinfo()函数来确认 php.ini 文件位置；
2. 去掉前面的分号。
如 ;session.use_only_cookies = 1 改为
session.use_only_cookies = 1
,jwxx.taxx.cn 经360检测，有以下漏洞，上级主管部门要求网站必须通过此项检测，请帮我处理修复一下，谢谢！
答：您好，对应的检测不完全正确，您可以访问http://jwxx.taxx.cn/tz.php 探针进行查看，对应的参数是已经开启的，非常感谢您长期对我司的支持!
问：这个360检测，是不太靠谱，又检测出一条：
http://jwxx.taxx.cn/yzjwxx/login.php同样的文件，放在另一个站上taxx.cn也没有问题。现在有什么办法能通过这个检测呢？上级要求必须通过检测呢。。。。
跨站脚本攻击漏洞WASC Threat Classification发现时间：漏洞类型：跨站脚本攻击（XSS）所属建站程序：其他所属服务器类型：通用所属编程语言：其他描述：跨站脚本攻击漏洞，英文名称Cross Site Scripting，简称CSS又叫XSS。Web 站点中的脚本不预先加以清理直接将用户输入（通常是参数值）返回， 当在响应页面中返回用户输入的 JavaScript 代码时，浏览器便会执行该代码。攻击者往往利用该原理向网页中插入恶意代码，并生成恶意链接诱使用户点击。当用户点击该连接时，便会生成对 Web 站点的请求，其中的参数值含有恶意的 JavaScript 代码。 如果 Web 站点将这个参数值嵌入在响应的 HTML 页面中（这正是站点问题的本质所在），恶意代码便会在用户浏览器中运行，达到攻击者的目的。危害：Web 站点中所包含的脚本直接将用户在 HTML 页面中的输入（通常是参数值）返回，而不预先加以清理。 如果脚本在响应页面中返回由 JavaScript 代码组成的输入，浏览器便可以执行此输入。 因此，有可能形成指向站点的若干链接，且其中一个参数包含恶意的 JavaScript 代码。 该代码将在站点上下文中（由用户浏览器）执行，这使得该代码有权访问用户在该站点中具有访问权的 cookie，以及站点中其他可通过用户浏览器访问的窗口。攻击依照下列方式继续进行：攻击者诱惑合法用户单击攻击者生成的链接。 用户单击该链接时，便会生成对于 Web 站点的请求，其中的参数值含有恶意的 JavaScript 代码。 如果 Web 站点将这个参数值嵌入在响应的 HTML 页面中（这正是站点问题的本质所在），恶意代码便会在用户浏览器中运行。解决方案：方案一：1. 过滤用户输入的内容，检查用户输入的内容中是否有非法内容。如<>（尖括号）、\”（引号）、 \’（单引号）、%%uFF08百分比符号）、;（分号）、()（括号）、&（& 符号）、 （加号）等。2. 严格控制输出可以利用下面这些函数对出现xss漏洞的参数进行过滤1、htmlspecialchars() 函数,用于转义处理在页面上显示的文本。2、htmlentities() 函数,用于转义处理在页面上显示的文本。3、strip_tags() 函数,过滤掉输入、输出里面的恶意标签。4、header() 函数,使用header(\”Content-type:application/json\”); 用于控制 json 数据的头部，不用于浏览。5、urlencode() 函数,用于输出处理字符型参数带入页面链接中。6、intval() 函数用于处理数值型参数输出页面中。7、自定义函数,在大多情况下，要使用一些常用的 html 标签，以美化页面显示，如留言、小纸条。那么在这样的情况下，要采用白名单的方法使用合法的标签显示，过滤掉非法的字符。各语言示例： PHP的htmlentities()或是htmlspecialchars()。
Python的cgi.escape()。
ASP的Server.HTMLEncode()。
ASP.NET的Server.HtmlEncode()或功能更强的Microsoft Anti-Cross Site Scripting Library
Java的xssprotect(Open Source Library)。
Node.js的node-validator。方案二：使用开源的漏洞修复插件。（ 需要站长懂得编程并且能够修改服务器代码 ）具体可以参考：http://webscan.360.cn/group/topic/tid/4571
答：您好，这个是程序架构方面需要考虑的问题，https://www.west.cn/faq/list.asp?unid=2242 可以参考这个说明，或者您按照360给您提供的方案http://webscan.360.cn/group/topic/tid/4571 来处理,非常感谢您长期对我司的支持!
问：这个360的检测确实是不靠谱，一会儿这个提示没有了，又冒出上面的提示出来。明明用探针检测，选项是打开的，现在不理这个检测了
另外有没有其他靠谱的类似这种检测，能证明网站相对安全的检测结果，我好给客户一个说明。谢谢！
答：您好，非常抱歉给您带来不便，这种类似的检测工具需要您自行上网搜索查询一下 ,非常感谢您长期对我司的支持!
