ホームページ > 記事 > バックエンド開発 > php_PHP チュートリアルでの特殊な危険文字のフィルタリングの概要

php_PHP チュートリアルでの特殊な危険文字のフィルタリングの概要

WBOYオリジナル: 2016-07-13 10:47:581019ブラウズ

フォームを送信したり、Web サイト上の URL から値を取得したりするときに、セキュリティの問題が発生する可能性があります。以下に、危険な特殊文字をフィルタリングするためによく使用される解決策をいくつかまとめました。このチュートリアルが役立つことを願っています。

一般に、渡された文字については、PHP は addslashes 関数を使用して処理できます (get_magic_quotes_gpc() のみが false です。そうでない場合は繰り返しエスケープされます!)。これにより、ある程度のセキュリティ要件を達成できます
こんな感じ

コードは次のとおりです

コードをコピー

if (!get_magic_quotes_gpc()) {
add_slashes($_GET);
add_slashes($_POST);
add_slashes($_COOKIE);
}

関数 add_slashes($string) {
If (is_array($string)) {
foreach ($string as $key => $value) {
$string[$key] = add_slashes($value); } それ以外 { $string = まつげを追加します($string); $string を返します。 }

但是还可以更进一步进行重新编码，解码，如下：

代码如下

复制代码

//编码

function htmlencode($str) {
      if(empty($str)) return;
      if($str=="") return $str;
      $str=trim($str);
      $str=str_replace("&","&",$str);
      $str=str_replace(">",">",$str);
      $str=str_replace("<","<",$str);
      $str=str_replace(chr(32)," ",$str);
      $str=str_replace(chr(9)," ",$str);
      $str=str_replace(chr(34),"&",$str);
      $str=str_replace(chr(39),"'",$str);
      $str=str_replace(chr(13),"<br />",$str);
      $str=str_replace("'","''",$str);
      $str=str_replace("select","select",$str);
      $str=str_replace("join","join",$str);
      $str=str_replace("union","union",$str);
      $str=str_replace("where","where",$str);
      $str=str_replace("insert","insert",$str);
      $str=str_replace("delete","delete",$str);
      $str=str_replace("update","update",$str);
      $str=str_replace("like","like",$str);
      $str=str_replace("drop","drop",$str);
      $str=str_replace("create","create",$str);
      $str=str_replace("modify","modify",$str);
      $str=str_replace("rename","rename",$str);
      $str=str_replace("alter","alter",$str);
      $str=str_replace("cast","cas",$str);
      return $str;
}

这样就能更放心的对外来数据进行入库处理了，但是从数据库取出来，在前台显示的时候，必须重新解码一下：

代码如下

复制代码

//解码

function htmldecode($str) {
      if(empty($str)) return;
      if($str=="") return $str;
      $str=str_replace("select","select",$str);
      $str=str_replace("join","join",$str);
      $str=str_replace("union","union",$str);
      $str=str_replace("where","where",$str);
      $str=str_replace("insert","insert",$str);
      $str=str_replace("delete","delete",$str);
      $str=str_replace("update","update",$str);
      $str=str_replace("like","like",$str);
      $str=str_replace("drop","drop",$str);
      $str=str_replace("create","create",$str);
      $str=str_replace("modify","modify",$str);
      $str=str_replace("rename","rename",$str);
      $str=str_replace("alter","alter",$str);
      $str=str_replace("cas","cast",$str);
      $str=str_replace("&","&",$str);
      $str=str_replace(">",">",$str);
      $str=str_replace("<","<",$str);
      $str=str_replace(" ",chr(32),$str);
      $str=str_replace(" ",chr(9),$str);
      $str=str_replace("&",chr(34),$str);
      $str=str_replace("'",chr(39),$str);
      $str=str_replace("<br />",chr(13),$str);
      $str=str_replace("''","'",$str);
      return $str;
}

虽然多了一步编码，解码的过程，但是安全方面，会更进一步，要如何做，自己取舍吧。

再附一些

代码如下

复制代码

function safe_replace($string) {
$string = str_replace(' ','',$string);
$string = str_replace(''','',$string);
$string = str_replace(''','',$string);
$string = str_replace('*','',$string);
$string = str_replace('"','"',$string);
$string = str_replace("'",'',$string);
$string = str_replace('"','',$string);
$string = str_replace(';','',$string);
$string = str_replace('<','<',$string);
$string = str_replace('>','>',$string);
$string = str_replace("{",'',$string);
$string = str_replace('}','',$string);
return $string;
}

さらに万能

以下のコード

コードをコピーします

// 送信されたデータを処理します
関数 htmldecode($str) {
if (空 ( $str ) || "" == $str) {
戻る "";
}

$str = ストリップタグ ( $str );
$str = htmlspecialchars ( $str );
$str = nl2br ( $str );
$str = str_replace ( "?", "", $str );
$str = str_replace ( "*", "", $str );
$str = str_replace ( "!", "", $str );
$str = str_replace ( "~", "", $str );
$str = str_replace ( "$", "", $str );
$str = str_replace ( "%", "", $str );
$str = str_replace ( "^", "", $str );
$str = str_replace ( "^", "", $str );
$str = str_replace ( "select", "", $str );
$str = str_replace ( "結合", "", $str );
$str = str_replace ( "union", "", $str );
$str = str_replace ( "どこ", "", $str );
$str = str_replace ( "挿入", "", $str );
$str = str_replace ( "削除", "", $str );
$str = str_replace ( "更新", "", $str );
$str = str_replace ( "like", "", $str );
$str = str_replace ( "ドロップ", "", $str );
$str = str_replace ( "作成", "", $str );
$str = str_replace ( "変更", "", $str );
$str = str_replace ( "名前変更", "", $str );
$str = str_replace ( "alter", "", $str );
$str = str_replace ( "キャスト", "", $str );

$farr = array ("//s+/", // 空白をフィルタリングします
"/ ;
$tarr = array (" ", "", // 安全でないタグを直接クリアしたい場合は、ここでそれらを保持できます
"");
$str を返します。
}

声明：

この記事の内容はネチズンが自主的に寄稿したものであり、著作権は原著者に帰属します。このサイトは、それに相当する法的責任を負いません。盗作または侵害の疑いのあるコンテンツを見つけた場合は、admin@php.cn までご連絡ください。

前の記事：PHP検証コード生成プログラムのいくつかの方法_PHPチュートリアル次の記事：PHP検証コード生成プログラムのいくつかの方法_PHPチュートリアル

続きを見る

php_PHP チュートリアルでの特殊な危険文字のフィルタリングの概要

関連記事