htmlspecialchars - 一定有更好的方法

发布于 2024-12-11 02:41:54 字数 380 浏览 0 评论 0原文

我的理解是所有变量都应该通过视图中的 htmlspecialchars() 输出。

是否有任何方法或方法可以做到这一点，而不必在每个视图中的每个适当的行上指定函数？

我能想到的最好的办法就是有一个辅助函数，如下所示： function html_escape($var)

function h($var)
{
  if (is_array($var))
  {
    return array_map('h', $var);
  }
  else
  {
    return htmlspecialchars($var, ENT_QUOTES, 'UTF8');
  }
}

但仍然...这可能会变得非常乏味！

有什么想法吗？

原文

My understanding is that all variables should be output through htmlspecialchars() in a view.

Are there any approaches or methods to do this, without having to specify the function on each appropriate line in each view?

The best that I could come up with is to have a helper function as follows:
function html_escape($var)

function h($var)
{
  if (is_array($var))
  {
    return array_map('h', $var);
  }
  else
  {
    return htmlspecialchars($var, ENT_QUOTES, 'UTF8');
  }
}

But still...this could get very tedious!

Any ideas?

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

给妤﹃绝世温柔 2024-12-18 02:41:54

您可以让函数 h() 输出转义数据，而不是返回它。因此，不要编写你可以写。现在，这比在不转换为实体的情况下回显变量短两个字符。

回复收藏 0 原文

沒落の蓅哖 2024-12-18 02:41:54

需要注意的一个重要区别是，并非所有变量都必须通过 htmlentities/htmlspecialchars 运行，而只是包含用户提供的内容的变量，尚未根据规则集进行过滤以防止任意代码包容性。

您可以创建一个辅助函数来稍微减少输入，或者在将用户提供的输入传递给视图之前通过控制器中的 htmlentities/htmlspecialchars 循环所有用户提供的输入（不过，这可能会降低效率，因为它不可能每个部分将显示用户提供的输入的数量）

回复收藏 0 原文

暮光沉寂 2024-12-18 02:41:54

在许多情况下，你所拥有的可能是最接近轻松逃脱的。

就我个人而言，我在变量上使用了一个小循环，如果我知道我将在 html 输出中使用任何 $_GET 变量，我会运行以下命令：

<?php
foreach($_GET as $key => $value) {
  $_GET[$key] = htmlspecialchars($value);
}
?>

然后立即启动我的 html 标签。

不过，并非所有内容都需要转义，除非用户对其有任何影响。

此外，您可以有一个名为 escape.php 的脚本，该脚本对您使用的常见变量（如 $_GET、$_POST、$_COOKIE 等）使用上述方法，然后 include( 'escape.php') 在您的脚本中使用它之前在 html 输出中使用。

这在很大程度上取决于您的品味以及项目的需求。

What you have there is probably the closest you come to an easy escape in allot of situations.

Personally i use a little loop on my variables, if i know i'm going to be using any $_GET variables in my html output, i run this:

<?php
foreach($_GET as $key => $value) {
  $_GET[$key] = htmlspecialchars($value);
}
?>

Then start my html tags right after.

Not everything needs to be escaped though, unless the user have any influence on it.

In addition, you could have a script called escape.php, which uses the above method on common variables you use, like $_GET, $_POST, $_COOKIE and so on, then include('escape.php') it in your scripts before use in the html output.

All over it pretty much depends on your taste and what you need for your project.

回复收藏 0 原文

~没有更多了~