久久r热视频,国产午夜精品一区二区三区视频,亚洲精品自拍偷拍,欧美日韩精品二区

您的位置:首頁技術(shù)文章
文章詳情頁

在PHP中顯示格式化的用戶輸入

瀏覽:5日期:2024-01-08 18:26:54

我們將討論沒有經(jīng)過過濾的輸出的危險,給出一個安全的顯示格式化輸出的方法。

沒有過濾輸出的危險

如果你僅僅獲得用戶的輸入然后顯示它,你可能會破壞你的輸出頁面,如一些人能惡意地在他們提交的輸入框中嵌入javascript腳本:

This is my comment.

<script language='javascript:

alert('Do something bad here!')'>.

這樣,即使用戶不是惡意的,也會破壞你的一些HTML的語句,如一個表格突然中斷,或是頁面顯示不完整。

只顯示無格式的文本

這是一個最簡單的解決方案,你只是將用戶提交的信息顯示為無格式的文本。使用htmlspecialchars()函數(shù),將轉(zhuǎn)化全部的字符為HTML的編碼。

如<b>將轉(zhuǎn)變?yōu)?lt;b>,這可以保證不會有意想不到的HTML標記在不適當?shù)臅r候輸出。

這是一個好的解決方案,如果你的用戶只關(guān)注沒有格式的文本內(nèi)容。但是,如果你給出一些可以格式化的能力,它將更好一些。

Formatting with Custom Markup Tags

用戶自己的標記作格式化

你可以提供特殊的標記給用戶使用,例如,你可以允許使用[b]...[/b]加重顯示,[i]...[/i]斜體顯示,這樣做簡單的查找替換操作就可以了: $output = str_replace('[b]', '<b>', $output);

$output = str_replace('[i]', '<i>', $output);

再作的好一點,我們可以允許用戶鍵入一些鏈接。例如,用戶將允許輸入[link='url']...[/link],我們將轉(zhuǎn)換為<a href='http://m.baoyu77737.com/bcjs/21366.html'>...</a>語句

這時,我們不能使用一個簡單的查找替換,應該使用正則表達式進行替換:

$output = ereg_replace('[link='([[:graph:]]+)']', '<a href='http://m.baoyu77737.com/bcjs/1'>', $output);

ereg_replace()的執(zhí)行就是:

查找出現(xiàn)[link='...']的字符串,使用<a href='http://m.baoyu77737.com/bcjs/...'> 替換它

[[:graph:]]的含義是任何非空字符,有關(guān)正則表達式請看相關(guān)的文章。

在outputlib.php的format_output()函數(shù)提供這些標記的轉(zhuǎn)換,總體上的原則是:中國網(wǎng)管聯(lián)盟bitsCN.com

調(diào)用htmlspecialchars()將HTML標記轉(zhuǎn)換成特殊編碼,將不該顯示的HTML標記過濾掉,然后,將一系列我們自定義的標記轉(zhuǎn)換相應的HTML標記。

請參看下面的源代碼:

<?phpfunction format_output($output) {

/***************************************************************************** Takes a raw string ($output) and formats it for output using a special* stripped down markup that is similar to HTML****************************************************************************/$output = htmlspecialchars(stripslashes($output));/* new paragraph */$output = str_replace('[p]', '<p>', $output);/* bold */$output = str_replace('[b]', '<b>', $output);$output = str_replace('[/b]', '</b>', $output);/* italics */$output = str_replace('[i]', '<i>', $output);$output = str_replace('[/i]', '</i>', $output);網(wǎng)管bitscn_com/* preformatted */$output = str_replace('[pre]', '<pre>', $output);$output = str_replace('[/pre]', '</pre>', $output);/* indented blocks (blockquote) */$output = str_replace('[indent]', '<blockquote>', $output);$output = str_replace('[/indent]', '</blockquote>', $output);/* anchors */$output = ereg_replace('[anchor='([[:graph:]]+)']', '<a name='1'></a>', $output);/* links, note we try to prevent javascript in links */$output = str_replace('[link='javascript', '[link=' javascript', $output);$output = ereg_replace('[link='([[:graph:]]+)']', '<a href='http://m.baoyu77737.com/bcjs/1'>', $output);$output = str_replace('[/link]', '</a>', $output);return nl2br($output);}?>

一些注意的地方:

記住替換自定義標記生成HTML標記字符串是在調(diào)用htmlspecialchars()函數(shù)之后,而不是在這個調(diào)用之前,否則你的艱苦的工作在調(diào)用htmlspecialchars()后將付之東流。網(wǎng)管bitscn_com

在經(jīng)過轉(zhuǎn)換之后,查找HTML代碼將是替換過的,如雙引號'將成為'

nl2br()函數(shù)將回車換行符轉(zhuǎn)換為<br>標記,也要在htmlspecialchars()之后。

當轉(zhuǎn)換[links=''] 到 <a href='http://m.baoyu77737.com/bcjs/21366.html'>, 你必須確認提交者不會插入javascript腳本,一個簡單的方法去更改[link='javascript 到 [link=' javascript, 這種方式將不替換,只是將原本的代碼顯示出來。

outputlib.php

在瀏覽器中調(diào)用test.php,可以看到format_output() 的使用情況

正常的HTML標記不能被使用,用下列的特殊標記替換它:

- this is [b]bold[/b]- this is [i]italics[/i]- this is [link='http://www.phpbuilder.com']a link[/link]- this is [anchor='test']an anchor, and a [link='#test']link[/link] to the anchor

[p]段落[pre]預先格式化[/pre][indent]交錯文本[/indent]

這些只是很少的標記,當然,你可以根據(jù)你的需求隨意加入更多的標記網(wǎng)管聯(lián)盟bitsCN@com

Conclusion

結(jié)論

這個討論提供安全顯示用戶輸入的方法,可以使用在下列程序中

留言板用戶建議系統(tǒng)公告BBS系統(tǒng)

標簽: PHP
主站蜘蛛池模板: 泾阳县| 洛川县| 凤山市| 石景山区| 甘泉县| 财经| 八宿县| 蒙自县| 射洪县| 阳谷县| 崇礼县| 左云县| 资中县| 天镇县| 南丹县| 大厂| 祁东县| 成安县| 鲁山县| 松江区| 大新县| 扎鲁特旗| 巫溪县| 北宁市| 普宁市| 防城港市| 纳雍县| 吉木萨尔县| 四子王旗| 成安县| 西乌珠穆沁旗| 苍南县| 北流市| 祁连县| 乐都县| 衡山县| 保靖县| 吉水县| 沙雅县| 游戏| 绵竹市|