php特殊字符转义方法详解

发布时间:2019-11-12编辑:脚本学堂
php中特殊字符转义的方法,如何识别输出、输出转义与区分已转义与未转义数据,对输出进行转义或对特殊字符进行编码。

php中特殊字符转义的方法,如何识别输出、输出转义与区分已转义与未转义数据,对输出进行转义或对特殊字符进行编码。

php特殊字符相关操作方法,可以参考:

php特殊字符转义

1、输出转义
对输出进行转义或对特殊字符进行编码,以保证原意不变。
例如,o'reilly 在传送给mysql 数据库前需要转义成o'reilly。
单引号前的反斜杠代表单引号是数据本身的一部分,而不是并不是它的本义。

输出转义具体分为三步:
1、识别输出
2、输出转义
3、区分已转义与未转义数据
只对已过滤数据进行转义是很有必要的。尽管转义能防止很多常见安全漏洞,但它不能替代输入过滤。被污染数据必须首先过滤然后转义。
在对输出进行转义时,必须先识别输出。

通常,这要比识别输入简单得多,因为它依赖于所进行的动作。
例如,识别到客户端的输出时,可在代码中查找下列语句:
echo
print
printf
<?=
作为一项应用的开发者,你必须知道每一个向外部系统输出的地方。它们构成了输出。
象过滤一样,转义过程在依情形的不同而不同。www.jb200.com 整理
过滤对于不同类型的数据处理方法也是不同的,转义也是根据你传输信息到不同的系统而采用不同的方法。

对于一些常见的输出目标(包括客户端、数据库和url)的转义,php 中有内置函数可用。

如果要实现自己的算法,需要找到在外系统中特殊字符的可靠和完整的列表,以及它们的表示方式,这样数据是被保留下来而不是转译了。
最常见的输出目标是客户机,使用htmlentities( )在数据发出前进行转义是最好的方法。

与其它字符串函数一样,它输入是一个字符串,对其进行加工后进行输出。
但是,使用htmlentities( )函数的最佳方式是指定它的两个可选参数:引号的转义方式(第二参数)及字符集(第三参数)。
引号的转义方式应该指定为ent_quotes,它的目的是同时转义单引号和双引号,这样做是最彻底的,字符集参数必须与该页面所使用的字符集相必配。

为了区分数据是否已转义,我还是建议定义一个命名机制。对于输出到客户机的转义数据,我使用$html 数组进行存储,该数据首先初始化成一个空数组,对所有已过滤和已转义数据进行保存。
 

复制代码 代码示例:
<?php
$html = array( );
$html['username'] = htmlentities($clean['username'], ent_quotes, 'utf-8');
echo "<p>welcome back, {$html['username']}.</p>";
?>
 

小提示
htmlspecialchars( )函数与htmlentities( )函数基本相同,它们的参数定义完全相同,只不过是htmlentities( )的转义更为彻底。
通过$html['username']把username 输出到客户端,你就可以确保其中的特殊字符不会被浏览器所错误解释。

如果username 只包含字母和数字的话,实际上转义是没有必要的,但是这体现了深度防范的原则。
转义任何的输出是一个非常好的习惯,它可以戏剧性地提高你的软件的安全性。

输出目标是数据库。
需要对sql 语句中的数据使用php内建函数进行转义。
对于mysql 用户,最好的转义函数是mysql_real_escape_string( )。
如果使用的数据库没有php 内建转义函数可用的话,addslashes( )是最后的选择。

例子,加深mysql 数据库转义的理解。
 

复制代码 代码示例:
<?php
$mysql = array( );
$mysql['username'] = mysql_real_escape_string($clean['username']);
$sql = "select *
from profile
where username = '{$mysql['username']}'";
$result = mysql_query($sql);
?>