在 PHP 中转义 Python 字符串的最佳方法是什么？

Question

我有一个 PHP 应用程序，需要输出一个 python 脚本，更具体地说是一堆变量赋值语句，例如。

subject_prefix = 'This String From User Input'
msg_footer = """This one too."""

需要写入subject_prefix等内容来接受用户输入； 因此，我需要转义字符串的内容。 写出像下面这样的东西并不能解决问题； 一旦有人使用引用或换行符或任何其他我不知道可能危险的东西，我们就会被塞满：

echo "subject_prefix = '".$subject_prefix."'\n";

所以。 有任何想法吗？

（由于时间限制，不可能用 Python 重写应用程序。:P）

几年后编辑：

这是为了 Web 应用程序（用 PHP 编写）和 Mailman（用 Python 编写）之间的集成）。 我无法修改后者的安装，因此我需要想出一种用其语言进行对话的方法来管理其配置。

这也是一个非常的坏主意。

Answer 1

不要尝试用 PHP 编写此函数。 您将不可避免地出错，并且您的应用程序将不可避免地受到任意远程执行攻击。

首先，考虑一下您实际要解决的问题是什么。 我假设您只是想将数据从 PHP 获取到 Python。 您可能会尝试编写 .ini 文件而不是 .py 文件。 Python 有一个优秀的 ini 语法解析器，ConfigParser。 您可以在 PHP 中编写明显且可能不正确的引用函数，如果（阅读：当）您写错了，不会发生任何严重的情况。

您还可以编写 XML 文件。 PHP 和 Python 的 XML 解析器和发射器太多了，我什至无法在此处列出。

如果我真的无法让您相信这是一个非常非常糟糕的想法，那么您至少可以使用Python已有的函数来做这样的事情：repr()。

这里有一个方便的 PHP 函数，它将运行一个 Python 脚本来为您执行此操作：

<?php

function py_escape($input) {
    $descriptorspec = array(
        0 => array("pipe", "r"),
        1 => array("pipe", "w")
        );
    $process = proc_open(
        "python -c 'import sys; sys.stdout.write(repr(sys.stdin.read()))'",
        $descriptorspec, $pipes);
    fwrite($pipes[0], $input);
    fclose($pipes[0]);
    $chunk_size = 8192;
    $escaped = fread($pipes[1], $chunk_size);
    if (strlen($escaped) == $chunk_size) {
        // This is important for security.
        die("That string's too big.\n");
    }
    proc_close($process);
    return $escaped;
}

// Example usage:
$x = "string \rfull \nof\t crappy stuff";
print py_escape($x);

chunk_size 检查旨在防止攻击，使您的输入最终成为两个非常长的字符串，看起来像 ("hello " + ("." * chunk_size)) 和 '; os.system("做坏事") 分别。 现在，这种天真的攻击不会完全起作用，因为 Python 不会让单引号字符串在行中间结束，并且 system() 调用中的那些引号本身将被引用，但是如果攻击者设法将续行符（“\”）放入正确的位置并使用类似 os.system(map(chr, ...)) 的内容，那么他​​们就可以注入一些代码将会运行。

我选择简单地读取一大块，如果有更多输出就放弃，而不是继续读取和累积，因为Python源文件行长度也有限制； 据我所知，这可能是另一个攻击媒介。 Python 并不是为了防止任意人在您的系统上编写任意源代码而设计的，因此该区域不太可能被审计。

事实上，我必须为这个简单的例子考虑所有这些，这只是为什么你不应该使用 python 源代码作为数据交换格式的另一个例子。

Answer 2

我首先标准化我在 python 中使用的字符串类型，以使用三引号字符串 (""")。这应该减少输入中杂散引号引起的问题的发生。您仍然需要将其转义当然，但它应该减少我所关心的问题的数量，

这在某种程度上取决于我担心被滑入的内容，以及它们再次打印出来的上下文。如果您只是担心引号引起问题，您可以简单地检查“””的出现情况并转义它们。 另一方面，如果我担心输入本身是恶意的（并且它是用户输入，所以你可能应该这样做），那么我会查看诸如 strip_tags() 或其他类似函数之类的选项。

Answer 3

另一种选择可能是将数据导出为数组或对象导出为 JSON 字符串，并稍微修改 python 代码以处理新输入。 虽然通过 JSON 进行转义并不是 100% 安全，但它仍然比我们自己的转义例程更好。

如果 JSON 字符串格式错误，您将能够处理错误。

Python 有一个用于编码和解码 JSON 的包： python-json 3.4

Answer 4

我需要对此进行编码以转义“ntriples”格式的字符串，该格式使用 python 转义。

以下函数采用 utf-8 字符串并返回转义为 python（或 ntriples 格式）的字符串。
如果给出非法的 utf-8 数据，它可能会做奇怪的事情。 它不理解 xFFFF 之后的 Unicode 字符。 它（当前）不会将字符串括在双引号中。

uniord 函数来自 php.net 上的评论。

function python_string_escape( $string ) {
    $string = preg_replace( "/\\\\/", "\\\\", $string ); # \\ (first to avoid string re-escaping)
    $string = preg_replace( "/\n/", "\\n", $string ); # \n
    $string = preg_replace( "/\r/", "\\r", $string ); # \r 
    $string = preg_replace( "/\t/", "\\t", $string ); # \t 
    $string = preg_replace( "/\"/", "\\\"", $string ); # \"
    $string = preg_replace( "/([\x{00}-\x{1F}]|[\x{7F}-\x{FFFF}])/ue",
                            "sprintf(\"\\u%04X\",uniord(\"$1\"))",
                            $string );
    return $string;
}

function uniord($c) {
    $h = ord($c{0});
    if ($h <= 0x7F) {
        return $h;
    } else if ($h < 0xC2) {
        return false;
    } else if ($h <= 0xDF) {
        return ($h & 0x1F) << 6 | (ord($c{1}) & 0x3F);
    } else if ($h <= 0xEF) {
        return ($h & 0x0F) << 12 | (ord($c{1}) & 0x3F) << 6 | (ord($c{2}) & 0x3F);
    } else if ($h <= 0xF4) {
        return ($h & 0x0F) << 18 | (ord($c{1}) & 0x3F) << 12 | (ord($c{2}) & 0x3F) << 6 | (ord($c{3}) & 0x3F);
    } else {
        return false;
    }
}

Answer 5

我建议编写一个带有两个参数的函数：要转义的文本和字符串所在的引号类型。然后，例如，如果引号类型是单引号，则该函数将对字符串中的单引号进行转义以及任何其他需要转义的字符（反斜杠？）。

function escape_string($text, $type) {
    // Escape backslashes for all types of strings?
    $text = str_replace('\\', '\\\\', $text);

    switch($type) {
        case 'single':
            $text = str_replace("'", "\\'", $text);
            break;
        case 'double':
            $text = str_replace('"', '\\"', $text);
            break;
        // etc...
    }

    return $text;
}

我假设对于单引号字符串，您想要转义单引号，而对于双引号字符串，您想要转义双引号...