快捷導(dǎo)航

php過濾輸入操作之htmlentities與htmlspecialchars用法分析

更新時間：2017年02月17日 10:39:04 作者：睡著的糖葫蘆

這篇文章主要介紹了php過濾輸入操作之htmlentities與htmlspecialchars用法,結(jié)合實例形式分析了php數(shù)據(jù)過濾操作的相關(guān)函數(shù)與使用技巧,需要的朋友可以參考下

本文實例講述了php過濾輸入操作htmlentities與htmlspecialchars用法。分享給大家供大家參考，具體如下：

過濾輸入 (即來自所列數(shù)據(jù)源中的任何數(shù)據(jù))是指，轉(zhuǎn)義或刪除不安全的字符。在數(shù)據(jù)到達應(yīng)用的存儲層之前，一定要過濾輸入數(shù)據(jù)。這是第一道防線。假如網(wǎng)站的評論表單接收html，默認情況下訪客可以毫無阻攔地在評論中加入惡意的<script>標簽，如下標示：

<p>
  我的測試
</p>
<script>alert(123)</script>

上面例子。如果不過濾這個評論，惡意代碼會存入數(shù)據(jù)庫，然后再網(wǎng)站的標記中渲染。

HTML

我們可以使用htmlentities或者htmlspecialchars函數(shù)來過濾html，把特殊字符轉(zhuǎn)換成對應(yīng)的html實體。

htmlentities這個函數(shù)轉(zhuǎn)換所有含有對應(yīng)“html實體”的特殊字符，比如貨幣表示符號歐元英鎊等、版權(quán)符號等，htmlspecialchars 只是把某些特殊的字符轉(zhuǎn)義了， & " ' < >

這2個函數(shù)比較傻，默認是不會轉(zhuǎn)義單引號的

$str='<a href="test.html" rel="external nofollow" >\'測試頁面\'</a><script>alert(213)</script>'; 
//并沒有轉(zhuǎn)義單引號
echo $str;
echo "<hr/>".PHP_EOL;
echo htmlentities($str);
echo "<hr/>".PHP_EOL;
echo htmlspecialchars($str);

需要設(shè)置第2個參數(shù) ENT_QUOTES，具體可以看php手冊

echo htmlentities($str,ENT_QUOTES,'UTF-8'); //單引號也轉(zhuǎn)義
echo "<hr/>".PHP_EOL;
echo htmlspecialchars($str,ENT_QUOTES,'UTF-8');//單引號也轉(zhuǎn)義

以上例子并不能區(qū)別出htmlentities和htmlspecialchars ，下面換上一些特殊的字符，如歐元等。htmlentities將會對此轉(zhuǎn)義，htmlspecialchars卻不會

echo htmlentities('€ <>"').PHP_EOL;
echo "<hr/>".PHP_EOL;
echo htmlspecialchars('€ <>"').PHP_EOL; //€沒有轉(zhuǎn)義

結(jié)論：做一般表單提交的時候完全可以用strip_tags去除html標簽，如果涉及到富文本編輯器需要保留html標簽，可以用htmlspecialchars對提交數(shù)據(jù)進行過濾。

更多關(guān)于PHP相關(guān)內(nèi)容感興趣的讀者可查看本站專題：《php程序設(shè)計安全教程》、《php安全過濾技巧總結(jié)》、《PHP運算與運算符用法總結(jié)》、《PHP網(wǎng)絡(luò)編程技巧總結(jié)》、《PHP基本語法入門教程》、《php面向?qū)ο蟪绦蛟O(shè)計入門教程》、《php字符串(string)用法總結(jié)》、《php+mysql數(shù)據(jù)庫操作入門教程》及《php常見數(shù)據(jù)庫操作技巧匯總》

希望本文所述對大家PHP程序設(shè)計有所幫助。

您可能感興趣的文章:

最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线

php過濾輸入操作之htmlentities與htmlspecialchars用法分析

相關(guān)文章

最新評論

大家感興趣的內(nèi)容

最近更新的內(nèi)容

常用在線小工具