php教程 php手册 PHP字符串编码与转义

PHP字符串编码与转义

Jun 06, 2016 pm 04:04 PM
php 암호 오픈 소스 코딩 프로그램 작성 프로그래밍 언어 탈출하다 소프트웨어 개발

因为PHP程序经常与HTML页、Web地址(URL)以及数据库交互,所以PHP提供一些函数来帮助你处理这些类型的数据。HTML、Web页地址和数据库命令都是字符串,但是它们每个都要求不同的字符以不同的方法来转义。例如,在Web地址中一个空格被写成%20,而直接量小于符号(HTML:在HTML中特殊的字符以实体(entity)表示,如&和对所有特殊字符进行实体引用:函数htmlentities()将HTML字符转换为对应的实体(除了空格符)。包括小于符号()、与号(&)和重音字符。(entity实体)
只对HTML语法字符进行实体引用:函数htmlspacialchars()转换最小的实体集来生成合法的HTML。下面的实体被转换:
与符号(&)被转换成&
双引号(")被转换成"
单引号(')被转换成'(就像调用htmlentities()时使用ENT_QUOTES的效果)
小于号(大于号(>)被转换成>
如果有一个应用程序来显示用户填入表单的数据,则要在显示和保存数据之前通过htmlspecialchars()处理数据。如果没有处理的话,一旦用户提交了像"angle
删除HTML标签
函数strip_tags()从字符串中删除HTML标签:
$input='

Howdy,"Cowboy"

;
$output=strip_tags($input);//$output是'Howdy,"Cowboy"'
函数可以有第二个参数来指定在字符串中留下的标签。之列出标签的开始形式,在第二个参数中列出的标签结束形式也将被保留:
$input='The bold tags willstay

';
$output=strip_tags($input,'');//$output是'The bold tags will stay'
在保留标签中的属性不会被strip_tags()改变。由于HTML标签属性(例如style和onmouseover)可以影响Web页面的外观和行为,所以用strip_tags()保留一些标签可能会导致无法删除所有潜在的冗余内容。

提取元标签
如果你把Web页面的HTML存在一个字符串中,函数get_meta_tags()可返回包含该页面中元标签(meta tag)内容的数组。元标签的名字(keywords、author、escription等)成为数组的键,而元标签的内容则成为对应的值:
$meta_tags=get_meta_tags('http://www.example.com/');
echo "Web page made by {$meta_tags[author]}";
函数一般的形式是:
$array=get_meta_tags(filename[,use_include_path]);
可以指定参数use_include_path为true,这样可使PHP尝试用标准包含路径打开文件。

URL:PHP提供了一些函数用于对URL进行编码和解码。有两种方法对URL编码,其区别在于如何处理空格。第一种(根据RFC1738规范)把空格当做URL中的另一个非法字符并把它编码为%20。第二种(执行application/x-www-form-urlencoded系统)把空格编码为一个+并且把它用于建立查询的字符串中。
注意并不需要对一个完整的URL使用这些函数,例如http://www.example.com/hello,因为它们会转义冒号和反斜杠:
http%3A%2F%2Fwww.example.com%2Fhello
应该只编码部分URL(在http://www.example.com/后面的部分),随后再加上协议和域名。

RFC1738编码和解码
要把字符串依照URL约定编码,可以使用rawurlencode():
$output=rawurlencode(input);
该函数接收一个字符串并返回对该字符串的拷贝,该拷贝中把非法URL字符按%dd约定编码。
如果你要为一个页面里的链接动态生成超级链接地址,则需要用rawurlencode()转换它们:
$name="Programming PHP";
$output=rawurlencode($name);
echo "http://localhost/$output";
http://localhost/Programming%20PHP
函数rawurldecode()用于解码被编码过的URL字符串:
$encoded='Programming%20PHP';
echo rawurldecode($encoded);
Programming PHP

查询字符串编码
urlencode()和urldecode()函数和它们原始版本(即rawurlencode()和rawurldecode())的不同仅在于它们把空格编码为加号(+),而不是%20。这是用于创建查询字符串(query string)和cookie值的格式,但是因为这些值在通过表单或cookie传送时会自动解码,所以你不需要使用这些函数来处理当前页的查询字符串或cookie。这两个函数对于生成查询字符串是很有用的:
$base_url='http://www.google.com/q=';
$query='PHP sessions -cookies';
$url=$base_url.urlencode($query);
echo $url;
http://www.google.com/q=PHP+sessions+cookies

SQL:绝大多数数据库系统都要求将SQL查询字符串进行转义。SQL的转义方法相当简单——在单引号、双引号、空字节和反斜杠前面加上一个反斜杠(\)。addslashes()函数可添加这些反斜杠,stripslashes()函数则删除它们:
$string="It's never going to work," she cried,
as she hit the backslash(\)key.
The_End;
echo addslashes($string);
\"It\'s never going to work,\"she cried,
as she hit the backslash (\\) key.
echo stripslashes($string);
"It's never going to work," she cried,
as she hit the backslash (\) key.
提示:一些数据库(如SYBASE)用另一个单引号为单引号转义,而不是一个反斜杠。对于这些数据库,可以在php.ini文件中打开magic_quotes_sybase。

数据错误的以代码形式执行是漏洞的根本原因,那么修复方法当然是让数据只能以数据的形式被SQL层认识并带入查询。
如果没有用加反斜杠转义,那么id=111'类似的查询条件就会直接带入查询语句:select * from table where id='$id'就变成了select * from table where id='111'';查询语句有未闭合的单引号报错
而如果我们使用了函数addslashes()进行反斜杠转义,那么SQL查询语句会变成:select * from table where id='111\'',所以id=111'中的单引号由于被以\'的形式传递,所以会以值的形式执行,SQL就会认为id=111'中的单引号是id变量值的一部分,那么查询结果有可能存在也有可能不存在,(例如,如果存在id为王二小's的数据库值,就存在查询结果),但是最重要的是,单引号在这里是以值的形式传递的,这才是最最根本的本质。

1. 对于PHP magic_quotes_gpc=on的情况,

我们可以不对输入和输出数据库的字符串数据作,addslashes()和stripslashes()的操作,数据也会正常显示。

如果此时你对输入的数据作了addslashes()处理,那么在输出的时候就必须使用stripslashes()去掉多余的反斜杠。

2. 对于PHP magic_quotes_gpc=off 的情况,必须使用addslashes()对输入数据进行处理,但并不需要使用stripslashes()格式化输出。因为addslashes()并未将反斜杠一起写入数据库,只是帮助mysql完成了sql语句的执行。

有的网站,外面是可以设置标签为“编程's”等这种格式的,但是一点击保存,就报错了,特别搞。然后不管哪个访问对应标签的文章,都会看到这个报错。这就是由于从用户输入到PHP代码再到SQL层,其中PHP整合SQL查询语句时的错误编写造成的。
知识的积累过程,总是起先你不懂,而后学了一点,就颠儿颠儿的以为“儿得矣”,当有一天你突然迷茫了,觉得哪儿似乎没那么形而上的通畅,然后你会不自主的想到底哪儿还有问题呢?你会迷茫很久,直到有一天终于找到了那个缺角,然后它是那么美好因为当你找到的时候就差不多已经有能力填充了。一切便豁然开朗。

有的时候,会略显无奈,因为人们越来越浮躁,而安全环境刚建立,安全问题刚得到更多的重视,所以大多数人在“颠儿颠儿”的阶段时,已经被业内大致认可,所以会特别盲目的自信,而有不少人,却是玩了好久,也没想到过还有哪儿值得迷茫。眼高手低,永远是一个让人崩溃的事实。

有的时候,id数据值会被设置为intval($id),这种情况下,如果变量只能是数字,就不会产生注入了,因为不管输入什么都会以数字——及值的形式带入数据库查询。然而,如果是字符型id值,而且还用到了addslashes(),是不是就安全了呢?,还真没有,因为如果sql语句形式是select * from table where id="'$_POST[id]'",这种情况,id值被单引号包含,我们要想构造能以代码执行的恶意值需要闭合前面的单引号,而addslashes会将我们输入的单引号转移为正常的值形式带入查询。这种情况就呵呵了。好在有的sql语句中参数值没有用单引号包含,例如:select * from table where id="$_POST[id]",虽然开启了addslashes转义单引号等特殊字符,但是我们根本就不需要单引号闭合sql查询语句中的id字段,所以照样可以注入。

 

본 웹사이트의 성명
본 글의 내용은 네티즌들의 자발적인 기여로 작성되었으며, 저작권은 원저작자에게 있습니다. 본 사이트는 이에 상응하는 법적 책임을 지지 않습니다. 표절이나 침해가 의심되는 콘텐츠를 발견한 경우 admin@php.cn으로 문의하세요.

핫 AI 도구

Undresser.AI Undress

Undresser.AI Undress

사실적인 누드 사진을 만들기 위한 AI 기반 앱

AI Clothes Remover

AI Clothes Remover

사진에서 옷을 제거하는 온라인 AI 도구입니다.

Undress AI Tool

Undress AI Tool

무료로 이미지를 벗다

Clothoff.io

Clothoff.io

AI 옷 제거제

AI Hentai Generator

AI Hentai Generator

AI Hentai를 무료로 생성하십시오.

뜨거운 도구

메모장++7.3.1

메모장++7.3.1

사용하기 쉬운 무료 코드 편집기

SublimeText3 중국어 버전

SublimeText3 중국어 버전

중국어 버전, 사용하기 매우 쉽습니다.

스튜디오 13.0.1 보내기

스튜디오 13.0.1 보내기

강력한 PHP 통합 개발 환경

드림위버 CS6

드림위버 CS6

시각적 웹 개발 도구

SublimeText3 Mac 버전

SublimeText3 Mac 버전

신 수준의 코드 편집 소프트웨어(SublimeText3)

Ubuntu 및 Debian용 PHP 8.4 설치 및 업그레이드 가이드 Ubuntu 및 Debian용 PHP 8.4 설치 및 업그레이드 가이드 Dec 24, 2024 pm 04:42 PM

PHP 8.4는 상당한 양의 기능 중단 및 제거를 통해 몇 가지 새로운 기능, 보안 개선 및 성능 개선을 제공합니다. 이 가이드에서는 Ubuntu, Debian 또는 해당 파생 제품에서 PHP 8.4를 설치하거나 PHP 8.4로 업그레이드하는 방법을 설명합니다.

PHP 개발을 위해 Visual Studio Code(VS Code)를 설정하는 방법 PHP 개발을 위해 Visual Studio Code(VS Code)를 설정하는 방법 Dec 20, 2024 am 11:31 AM

VS Code라고도 알려진 Visual Studio Code는 모든 주요 운영 체제에서 사용할 수 있는 무료 소스 코드 편집기 또는 통합 개발 환경(IDE)입니다. 다양한 프로그래밍 언어에 대한 대규모 확장 모음을 통해 VS Code는

PHP에서 HTML/XML을 어떻게 구문 분석하고 처리합니까? PHP에서 HTML/XML을 어떻게 구문 분석하고 처리합니까? Feb 07, 2025 am 11:57 AM

이 튜토리얼은 PHP를 사용하여 XML 문서를 효율적으로 처리하는 방법을 보여줍니다. XML (Extensible Markup Language)은 인간의 가독성과 기계 구문 분석을 위해 설계된 다목적 텍스트 기반 마크 업 언어입니다. 일반적으로 데이터 저장 AN에 사용됩니다

문자열로 모음을 계산하는 PHP 프로그램 문자열로 모음을 계산하는 PHP 프로그램 Feb 07, 2025 pm 12:12 PM

문자열은 문자, 숫자 및 기호를 포함하여 일련의 문자입니다. 이 튜토리얼은 다른 방법을 사용하여 PHP의 주어진 문자열의 모음 수를 계산하는 방법을 배웁니다. 영어의 모음은 A, E, I, O, U이며 대문자 또는 소문자 일 수 있습니다. 모음이란 무엇입니까? 모음은 특정 발음을 나타내는 알파벳 문자입니다. 대문자와 소문자를 포함하여 영어에는 5 개의 모음이 있습니다. a, e, i, o, u 예 1 입력 : String = "Tutorialspoint" 출력 : 6 설명하다 문자열의 "Tutorialspoint"의 모음은 u, o, i, a, o, i입니다. 총 6 개의 위안이 있습니다

코딩의 핵심: 초보자를 위한 Python의 힘 활용 코딩의 핵심: 초보자를 위한 Python의 힘 활용 Oct 11, 2024 pm 12:17 PM

Python은 배우기 쉽고 강력한 기능을 통해 초보자에게 이상적인 프로그래밍 입문 언어입니다. 기본 사항은 다음과 같습니다. 변수: 데이터(숫자, 문자열, 목록 등)를 저장하는 데 사용됩니다. 데이터 유형: 변수의 데이터 유형(정수, 부동 소수점 등)을 정의합니다. 연산자: 수학 연산 및 비교에 사용됩니다. 제어 흐름: 코드 실행(조건문, 루프) 흐름을 제어합니다.

Java Made Simple: 초보자를 위한 프로그래밍 능력 가이드 Java Made Simple: 초보자를 위한 프로그래밍 능력 가이드 Oct 11, 2024 pm 06:30 PM

간단해진 Java: 강력한 프로그래밍을 위한 초보자 가이드 소개 Java는 모바일 애플리케이션에서 엔터프라이즈 수준 시스템에 이르기까지 모든 분야에서 사용되는 강력한 프로그래밍 언어입니다. 초보자의 경우 Java의 구문은 간단하고 이해하기 쉬우므로 프로그래밍 학습에 이상적인 선택입니다. 기본 구문 Java는 클래스 기반 객체 지향 프로그래밍 패러다임을 사용합니다. 클래스는 관련 데이터와 동작을 함께 구성하는 템플릿입니다. 다음은 간단한 Java 클래스 예입니다. publicclassPerson{privateStringname;privateintage;

미래를 창조하세요: 완전 초보자를 위한 Java 프로그래밍 미래를 창조하세요: 완전 초보자를 위한 Java 프로그래밍 Oct 13, 2024 pm 01:32 PM

Java는 초보자와 숙련된 개발자 모두가 배울 수 있는 인기 있는 프로그래밍 언어입니다. 이 튜토리얼은 기본 개념부터 시작하여 고급 주제를 통해 진행됩니다. Java Development Kit를 설치한 후 간단한 "Hello, World!" 프로그램을 작성하여 프로그래밍을 연습할 수 있습니다. 코드를 이해한 후 명령 프롬프트를 사용하여 프로그램을 컴파일하고 실행하면 "Hello, World!"가 콘솔에 출력됩니다. Java를 배우면 프로그래밍 여정이 시작되고, 숙달이 깊어짐에 따라 더 복잡한 애플리케이션을 만들 수 있습니다.

Python을 사용한 문제 해결: 초보 코더로서 강력한 솔루션 잠금 해제 Python을 사용한 문제 해결: 초보 코더로서 강력한 솔루션 잠금 해제 Oct 11, 2024 pm 08:58 PM

Python은 초보자에게 문제 해결 능력을 부여합니다. 사용자 친화적인 구문, 광범위한 라이브러리 및 변수, 조건문 및 루프 사용 효율적인 코드 개발과 같은 기능을 제공합니다. 데이터 관리에서 프로그램 흐름 제어 및 반복 작업 수행에 이르기까지 Python은 제공합니다.

See all articles