当前位置：文江博客话题详情

清理 PHP/SQL $_POST、$_GET 等...？

发布于 2024-12-20 05:40:31 字数 549 浏览 4 评论 0原文

好吧，这个主题是一个温床，我明白这一点。我还了解这种情况取决于您使用的代码。我有三种情况需要解决。

我有一个表单，我们需要允许人们使用逗号、波形符等发表评论和声明……但仍然免受攻击。
我有人用英语输入这样的日期：10/13/11 mm/dd/yy，这可以清理吗？
我如何理解如何正确使用 htmlspecialchars()、htmlentities() 和 real_escape_string()？我已经阅读了 php.net 网站和这里的一些帖子，但在我看来，这一切都取决于阅读问题的人的正确答案是什么。

我真的无法接受......必须有一个答案，其中可以净化与我在这里发布的文本格式类似的文本格式。我想知道这是否可能以及如何可能。

谢谢...因为在我看来，当在其他地方问这个问题时，它往往会让人烦恼...我正在学习我需要知道的东西，但我认为我已经在没有示例的情况下达到了我所能知道的水平它的目的是......

提前致谢。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

回眸一遍 2024-12-27 05:40:31

这是一个非常重要的问题，实际上它以编码的形式有一个简单的答案。您面临的问题是您同时使用多种语言。首先使用 HTML，然后使用 PHP，几秒钟后使用 SQL。所有这些语言都有自己的语法规则。

要记住的是：字符串应该始终采用正确的编码。

让我们举个例子。您有一个 HTML 表单，用户在其中输入以下字符串：

Ially <3 dogs & cats ;')

按提交按钮后，该字符串将被发送到您的 PHP 脚本。假设这是通过 GET 完成的。它被附加到 URL，该 URL 有自己的语法（例如 & 字符具有特殊含义），因此我们正在更改语言。这意味着必须将字符串转换为正确的 URL 编码。在这种情况下，浏览器会执行此操作，但 PHP 也有一个 urlencode 函数来执行此操作。

在 PHP 脚本中，字符串存储在 $_GET 中，编码为 PHP 字符串。只要您编写 PHP 代码，就完全没问题。但现在让我们将该字符串用于 SQL 查询。我们改变了语言和语法规则，因此必须通过mysql_real_escape_string函数将字符串编码为SQL。

在另一端，我们可能想再次将字符串显示给用户。我们从数据库中检索该字符串，并将其作为 PHP 字符串返回给我们。当我们想要将其嵌入 HTML 中进行输出时，我们将再次更改语言，因此我们必须通过 htmlspecialchars 函数将字符串编码为 HTML。

在整个过程中，字符串始终采用正确的编码，这意味着用户可以想到的任何字符都将得到相应的处理。一切都应该顺利且安全地进行。

要避免的一件事（有时无知的人甚至会建议这样做）是过早地对字符串进行编码。例如，您可以在将字符串放入数据库之前将 htmlspecialchars 应用于字符串。这样，当您稍后从数据库检索字符串时，您可以将其粘贴到 HTML 中，没有问题。听起来很棒吗？是的，真的很棒，直到您开始收到人们的支持票，他们想知道为什么他们的 PDF 收据充满了 & 。 > 垃圾。

在代码中：

form.html：

<form action="post.php" method="get">
    <textarea name="comment">
        I really <3 dogs & cats ;')
    </textarea>
    <input type="submit"/>
</form>

它生成的URL：

http://www.example.org/form.php?comment=I%20really%20%3C3%20dogs%20&%20cats%20;')

post.php：

// Connect to database, etc....

// Place the new comment in the database
$comment = $_GET['comment']; // Comment is encoded as PHP string

// Using $comment in a SQL query, need to encode the string to SQL first!
$query = "INSERT INTO posts SET comment='". mysql_real_escape_string($comment) ."'";
mysql_query($query);

// Get list of comments from the database
$query = "SELECT comment FROM posts";

print '<html><body><h2>Posts</h2>';
print '<table>';

while($post = mysql_fetch_assoc($query)) {
    // Going from PHP string to HTML, need to encode!
    print '<tr><td>'. htmlspecialchars($post['comment']) .'</td></tr>';
}

print '</table>';
print '</body></html>'

It's a very important question and it actually has a simple answer in the form of encodings. The problem you are facing it that you use a lot of languages at the same time. First you are in HTML, then in PHP and a few seconds later in SQL. All these languages have their own syntax rules.

The thing to remember is: a string should at all times be in its proper encoding.

Lets take an example. You have a HTML form and the user enters the following string into it:

I really <3 dogs & cats ;')

Upon pressing the submit button, this string is being send to your PHP script. Lets assume this is done through GET. It gets appended to the URL, which has its own syntax (the & character has special meaning for instance) so we are changing languages. This means the string must be transformed into the proper URL-encoding. In this case the browser does it, but PHP also has an urlencode function for that.

In the PHP script, the string is stored in $_GET, encoded as a PHP string. As long as you are coding PHP, this is perfectly fine. But now lets put the string to use in a SQL query. We change languages and syntax rules, therefore the string must be encoded as SQL through the mysql_real_escape_string function.

At the other end, we might want to display the string back to the users again. We retrieve the string from the database and it is returned to us as a PHP string. When we want to embed it in HTML for output, we're changing languages again so we must encode our string to HTML through the htmlspecialchars function.

Throughout the way, the string has always been in the proper encoding, which means any character the user can come up with will be dealt with accordingly. Everything should be running smooth and safe.

A thing to avoid (sometimes this is even recommended by the ignorant) is prematurely encoding your string. For instance, you could apply htmlspecialchars to the string before putting it in the database. This way, when you retrieve the string later from the database you can stick it in the HTML no problem. Sound great? Yeah, really great until you start getting support tickets of people wondering why their PDF receipts are full of & > junk.

In code:

form.html:

<form action="post.php" method="get">
    <textarea name="comment">
        I really <3 dogs & cats ;')
    </textarea>
    <input type="submit"/>
</form>

URL it generates:

http://www.example.org/form.php?comment=I%20really%20%3C3%20dogs%20&%20cats%20;')

post.php:

// Connect to database, etc....

// Place the new comment in the database
$comment = $_GET['comment']; // Comment is encoded as PHP string

// Using $comment in a SQL query, need to encode the string to SQL first!
$query = "INSERT INTO posts SET comment='". mysql_real_escape_string($comment) ."'";
mysql_query($query);

// Get list of comments from the database
$query = "SELECT comment FROM posts";

print '<html><body><h2>Posts</h2>';
print '<table>';

while($post = mysql_fetch_assoc($query)) {
    // Going from PHP string to HTML, need to encode!
    print '<tr><td>'. htmlspecialchars($post['comment']) .'</td></tr>';
}

print '</table>';
print '</body></html>'

回复收藏 0 原文

少跟Wǒ拽 2024-12-27 05:40:31

关键是要了解您可以使用的每种消毒功能的用途以及何时使用。例如，数据库转义函数旨在使数据可以安全地插入数据库，并且应该这样使用；但 HTML 转义函数旨在中和恶意 HTML 代码（如 JavaScript），并确保输出数据供用户查看是安全的。在正确的时间清理正确的内容。*

您可以采取两种不同的基本方法：您可以在收到 HTML 时对其进行清理，或者您可以将其完全按收到时的样子存储，并仅在需要输出时对其进行清理给用户。这些方法中的每一种都有其支持者，但第二种方法可能最不容易出现问题（对于第一种方法，如果在清理过程中发现缺陷并且您发现数据库中存储的内容清理不充分，您会怎么做？）

可以使用日期解析函数来清理日期。在 PHP 中，您可以查看 strtotime()。您的目标通常是获取日期的字符串表示形式并输出表示日期的对象，或以规范方式（即：以特定格式）表示相同日期的另一个字符串。

回复收藏 0 原文