$_GET 上的 foreach 循环是应用 htmlspecialchars 的好方法吗？

Question

我想知道使用以下代码是否有一个显着的缺点：

if(isset($_GET)){
foreach($_GET as $v){
    $v = htmlspecialchars($v);
}
}

我意识到可能没有必要在每个变量上使用 htmlspecialchars 。有人知道这样做是否好？

更新：

因为我认为上面的代码不起作用，所以我用我正在使用的代码更新它（尽管对建议持否定态度）。 :)

if(isset($_GET)){
foreach($_GET as $k=>$v){
    $_GET[$k] = htmlspecialchars($v);
}
}

Answer 1

这完全取决于你想做什么。

一般来说，答案是“否”，您应该仅出于其预期目的专门转义数据。毫无目的地随机转义数据没有任何帮助，而且只会导致进一步的混乱，因为您必须跟踪转义的内容以及转义的方式。

简而言之，保持数据原始存储，并在使用时专门对其预期用途进行转义：

• 对于 HTML 输出，请使用 htmlentities()。
• 对于 shell 命令名称，请使用escapeshellcmd()。
• 对于 shell 参数，请使用 escapeshellarg()。
• 要构建 GET URL 字符串，请对参数值使用 urlencode()。
• 对于数据库查询，请使用相应的数据库转义机制（或准备好的语句）。

这个推理递归地适用。因此，如果您想编写一个指向 HTML 输出的 GET URL 的链接，它会是这样的：

echo "<a href=" . htmlentities("$url?q=" . urlencode($var)) . ">click</a>";

如果此时您必须记住 if $var ，那就太糟糕了之前已经逃脱了，又是如何逃脱的。

Answer 2

完全转义是没有必要的，而且可能对数据有害。不要这样做。

仅将 htmlspecialchars() 应用于要在 HTML 页面中输出的数据 - 最好是在输出之前或直接在输出时应用。

Answer 3

它不会影响数字，但对于不打算放入 HTML 代码的字符串参数可能会适得其反。

您必须根据每个键的含义来不同地对待它。泛化的可能性还取决于您的应用程序。

Answer 4

你这样做的方式是行不通的。您需要将 $v 设为引用，并且对于任何需要递归的内容（例如 $_GET['array'][0]），它都会中断。

if(isset($_GET)) {
  foreach($_GET as &$v) {
    $v = htmlspecialchars($v);
  }
}