php字符转义函数参考

发布时间:2020-12-14编辑:脚本学堂
介绍下php字符转义相关函数,考虑php程序的安全,需要对用户输入的字符串进行转义,大家可以参考下。

与php字符串转义相关的配置和函数:
1,magic_quotes_runtime
2,magic_quotes_gpc
3,addslashes()和stripslashes()
4,mysql_escape_string()
5,addcslashes()和stripcslashes()
6,htmlentities() 和html_entity_decode()
7,htmlspecialchars()和htmlspecialchars_decode()

当magic_quotes_runtime打开时,php的大部分函数自动的给从外部引入的(包括数据库或者文件)数据中的溢出字符加上反斜线。
可以使用set_magic_quotes_runtime()与get_magic_quotes_runtime()设置和检测其状态。实现转义字符的功能。
注意:php5.3.0以上的版本已将这两个函数废弃,也就说在php5.3.0或以上版本时该选项已经为关闭了。

magic_quotes_gpc设置是否自动为gpc(get,post,cookie)传来的数据中的某些字符进行转义,
可以使用get_magic_quotes_gpc()检测其设置。
如果没有打开这项设置,可以使用addslashes()函数添加给字符串进行转义

addslashes()? 在指定的预定义字符前添加反斜杠。
预定义字符包括单引号(')、双引号(")、反斜线()与 nul(null 字符)。
以上是w3school.com.cn给出的解释俺一直觉的不是很准确
因为在magic_quotes_sybase=on时它将单引号(')转换成双引号(") 在magic_quotes_sybase=off时才将单引号(')转换成(')
stripslashes()函数的功能与addslashes()?正好相反,它的功能是去除转义的效果。

mysql_escape_string() 转义 sql语句中使用的字符串中的特殊字符。?
这里的特殊包括(x00)、( n)、( r )、()、( ')、 (")、( x1a)

addcslashes()?以c 语言风格使用反斜线转义字符串中的字符,这个函数很少人去用,但是应该注意的是:当选择对字符 0,a,b,f,n,r,t 和 v 进行转义时,它们将被转换成 ,a,b,f,n,r,t 和 v。在 php 中,只有 (null),r(回车符),n(换行符)和 t(制表符)是预定义的转义序列, 而在 c 语言中,上述的所有转换后的字符都是预定义的转义序列。同理stripcslashes()的功能就是去除其转义。

htmlentities() 把字符转换为 html 实体。(什么是html实体?自己google吧~~)
具体参数请见这里,其逆反的函数html_entity_decode() -?把 html 实体转换为字符。

htmlspecialchars()函数把一些预定义的字符转换为 html 实体。
这些预定义的字符是:
& (和号) 成为 &
" (双引号) 成为 "
' (单引号) 成为 '
< (小于) 成为 <
> (大于) 成为 >
其逆反函数是htmlspecialchars_decode() 把一些预定义的 html 实体转换为字符。

一点自己的体会:
>>多次的单引号转义可能引起数据库的安全问题
>> 不建议使用mysql_escape_string 来进行转义,建议在获取用户输入时候进行转义
>> 由于set_magic_quotes_runtime()?在php5.3.0和以后版本已被废弃了, 所以之前的版本建议统一配置关闭:
 

复制代码 代码示例:
if(phpversion() < '5.3.0') {
set_magic_quotes_runtime(0);
}

>> 无法通过函数来定义magic_quotes_gpc,因此建议在服务器上统一开启,写程序的时候应该在来判断下,避免没开启gpc引起安全问题
通过addslashes对gpc进行时候转义时,应注意当用户提交数组数据时对键值和值的过滤
 

复制代码 代码示例:

if(!get_magic_quotes_gpc()) {
$_get = daddslashes($_get);
$_post = daddslashes($_post);
$_cookie = daddslashes($_cookie);
$_files = daddslashes($_files);
}
function daddslashes($string, $force = 1) {
if(is_array($string)) {
foreach($string as $key => $val) {
unset($string[$key]);
$string[addslashes($key)] = daddslashes($val, $force);
}
} else {
$string = addslashes($string);
}
return $string;
}

?>>

利用在用户输入或输出时候转义html实体以防止xss漏洞的产生!

今天碰到一个处理文件特殊字符的事情,再次注意到这个问题,在php中:
 

* 以单引号为定界符的php字符串,支持两个转义'和
* 以双引号为定界符的php字符串,支持下列转义:
    n 换行(lf 或 ascii 字符 0x0a(10)) 
    r 回车(cr 或 ascii 字符 0x0d(13)) 
    t 水平制表符(ht 或 ascii 字符 0x09(9)) 
    反斜线 
    $ 美元符号 
    " 双引号 
    [0-7]{1,3}               此正则表达式序列匹配一个用八进制符号表示的字符  
    x[0-9a-fa-f]{1,2}  此正则表达式序列匹配一个用十六进制符号表示的字符  

例子:
一个包含特殊字符的例子:
 

复制代码 代码示例:
$str = "ffffffff";
echo(strlen($str));
echo("n");
for($i=0;$i<strlen($str);$i++)echo("t".ord($str{$i}));
echo("n");

输出结果:
----------------------
9
        102     102     102     102     0       102     102     102     102

替换特殊字符的例子
 

复制代码 代码示例:
$str = "ffffffff";
$str = str_replace("x0", "", $str);  
//或者用$str = str_replace("", "", $str); 
//或者用$str = str_replace(chr(0), "", $str); 
echo(strlen($str));
echo("n");
for($i=0;$i<strlen($str);$i++)echo("t".ord($str{$i}));
echo("n");
 

输出结果:
----------------------
8
        102     102     102     102     102     102     102     102

八进制ascii码例子:
 

复制代码 代码示例:
//注意,符合正则[0-7]{1,3}的字符串,表示一个八进制的ascii码。
$str = "1237101188";  //这里的8不符合要求,被修正为"8" (ascii为92和56)
echo(strlen($str));
echo("n");
for($i=0;$i<strlen($str);$i++)echo("t".ord($str{$i}));
echo("n");
 

输出结果:
----------------------
11
        0       1       2       3       7       8       9       0       56      92      56

十六进制ascii码例子:
 

复制代码 代码示例:
$str = "x0x1x2x3x7x8x9x10x11xff";
echo(strlen($str));
echo("n");
for($i=0;$i<strlen($str);$i++)echo("t".ord($str{$i}));
echo("n");
 

输出结果:
----------------------
10
        0       1       2       3       7       8       9       16      17      255

php特殊字符转义详解
php正则表达式转义字符的例子
PHP常用转义字符函数
PHP转义正则表达式字符的函数
php实现防注入与表单提交值转义的代码
mysql语句中字符转义的方法举例
php字符转义的相关注意事项