当前位置：文江博客话题详情

验证代码语言的 PHP 函数

发布于 2024-10-17 08:01:51 字数 290 浏览 3 评论 0原文

我有一个带有 2 个文本区域的表单；第一个允许用户发送 HTML 代码，第二个允许用户发送 CSS 代码。我必须使用 PHP 函数验证语言是否正确。

如果语言正确，为了安全起见，我必须检查是否存在 PHP 代码或 SQL 注入或其他任何内容。

你怎么认为？有办法做到这一点吗？哪里可以找到这种功能呢？

“HTML Purifier”http://htmlpurifier.org/ 是一个好的解决方案吗？

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

岁月无声 2024-10-24 08:01:51

如果您必须验证将它们插入数据库的日期 - 那么您只需在将它们插入数据库之前使用 mysql_real_escape_string() 函数。

//Safe database insertion
mysql_query("INSERT INTO table(column) VALUES(".mysql_real_escape_string($_POST['field']).")");

如果您想将数据以纯文本形式输出给最终用户，那么您必须通过 htmlspecialchars() 转义所有 html 敏感字符。如果你想将其输出为 HTML，则必须使用 HTML Purify 工具。

//Safe plain text output
echo htmlspecialchars($data, ENT_QUOTES);

//Safe HTML output
$data = purifyHtml($data); //Or how it is spiecified in the purifier documentation
echo $data; //Safe html output

If you have to validate the date to insert them in to database - then you just have to use mysql_real_escape_string() function before inserting them in to db.

//Safe database insertion
mysql_query("INSERT INTO table(column) VALUES(".mysql_real_escape_string($_POST['field']).")");

If you want to output the data to the end user as plain text - then you have to escape all html sensitive chars by htmlspecialchars(). If you want to output it as HTML, the you have to use HTML Purify tool.

//Safe plain text output
echo htmlspecialchars($data, ENT_QUOTES);

//Safe HTML output
$data = purifyHtml($data); //Or how it is spiecified in the purifier documentation
echo $data; //Safe html output

回复收藏 0 原文

浅暮の光 2024-10-24 08:01:51

对于原始的东西，您可以使用正则表达式，但应该注意的是，建议使用解析器来完全穷尽所有可能性。

/(<\?(?:php)?(.*)\?>)/i

示例：http://regexr.com?2t3e5（更改 <在表达式中返回 < ，它将起作用（由于某种原因，rexpr 将其更改为 html 格式））

编辑

/(<\?(?:php)?(.*)(?:\?>|$))/i

这可能更好，因此他们不能将 php 放置在文档的结尾（因为 PHP 实际上不需要终止字符）

for something primitive you can use regex, BUT it should be noted using a parser to fully-exhaust all possibilities is recommended.

/(<\?(?:php)?(.*)\?>)/i

Example: http://regexr.com?2t3e5 (change the < in the expression back to a < and it will work (for some reason rexepr changes it to html formatting))

EDIT