如何安全地递归清理多维数组中的 XSS 风险值-php教程-PHP中文网

如何安全地递归清理多维数组中的 XSS 风险值

本文详解为何直接调用静态方法无法修改原数组、如何正确传递引用以实现多维数组的深层净化，并提供基于 htmlentities 和 strip_tags 的两种 XSS 防御方案。

本文详解为何直接调用静态方法无法修改原数组、如何正确传递引用以实现多维数组的深层净化，并提供基于 `htmlentities` 和 `strip_tags` 的两种 xss 防御方案。

在 PHP 中处理多维数组的值清洗（如防 XSS）时，一个常见却易被忽视的关键点是：函数参数默认按值传递，即使使用引用符号 &，也仅作用于函数内部变量，不会自动回写到原始数组，除非该数组本身以引用方式传入。

你遇到的问题正源于此：在 Data 类中直接写 foreach ($data as &$value) 能生效，是因为 $data 是当前作用域的局部变量，引用操作直接影响它；而 Functions::sanitizeArray($data) 中，$data 是按值传入的副本，内部对 $value 和 $val 的引用修改只作用于副本，函数结束后即销毁，原始数组未被改变。

✅ 正确做法：显式传入引用参数

必须将 sanitizeArray() 方法的参数声明为引用：

class Functions {
    public static function sanitize($value) {
        return htmlentities($value, ENT_QUOTES, 'UTF-8');
    }

    // 关键：参数 $data 必须加 &，表示接收引用
    public static function sanitizeArray(&$data) {  // ← 注意此处 &
        foreach ($data as &$row) {
            foreach ($row as $key => &$cell) {
                $cell = self::sanitize($cell);
            }
            unset($row); // 避免后续意外修改（PHP 引用残留风险）
        }
        unset($cell); // 同样清理内层引用
    }
}

? 使用示例（完整可运行）

class Data {
    public $data = [
        ['test', 'test1', 'test2', 'test3', 'test4', '<script>alert("XSS !!");</script>'],
        ['test', 'test1', 'test2', 'test3', 'test4', 'test5'],
        ['test', 'test1', 'test2', 'test3', 'test4', 'test5'],
        ['test', 'test1', 'test2', 'test3', 'test4', 'test5'],
    ];

    public function process() {
        // ✅ 正确：传入引用 &$this->data
        Functions::sanitizeArray($this->data);
        return $this->data;
    }
}

// 测试
$dataObj = new Data();
$cleaned = $dataObj->process();
print_r($cleaned);
// 输出中第0行第5列已变为：<script>alert("XSS !!");</script>

⚠️ 注意事项与最佳实践

始终 unset() 引用变量：foreach 中的 &$val 在循环结束后仍持有对原数组元素的引用，若后续代码修改 $val，可能意外污染数组。因此推荐在循环后 unset($val, $row)。
htmlentities vs strip_tags：
- htmlentities(..., ENT_QUOTES)：转义所有 HTML 实体（包括引号），适合需保留标签结构但防止执行的场景；
- strip_tags()：直接移除所有 HTML 标签，更彻底，适用于纯文本展示（如评论、表单输入）。
考虑使用 htmlspecialchars()：对单个字符串更轻量，且默认行为已足够防御大多数 XSS（等价于 htmlentities($str, ENT_QUOTES | ENT_HTML5, 'UTF-8')）。
深层嵌套？用递归：若数组维度不固定（如三维、四维），应改用递归函数：

public static function sanitizeArrayRecursive(&$data) {
    foreach ($data as $key => &$value) {
        if (is_array($value)) {
            self::sanitizeArrayRecursive($value);
        } else {
            $data[$key] = self::sanitize($value);
        }
    }
    unset($value);
}