在网站中表单提交或url获取值我们都可能碰到一些安全问题,下面我总结了一些常用的过滤一些危险特殊字符的解决方法,一般,对于传进来的字符,php可以用addslashes函数处理一遍(要get_magic_quotes_gpc()为假才处理,不然就重复转义了!),这样就能达到一定程度的安全要求,比如这样,代码如下:

  1. if (!get_magic_quotes_gpc()) {      
  2.      add_slashes($_GET);      
  3.      add_slashes($_POST);      
  4.      add_slashes($_COOKIE);      
  5. }      
  6.       
  7. function add_slashes($string) {      
  8.      if (is_array($string)) {      
  9.          foreach ($string as $key => $value) {      
  10.              $string[$key] = add_slashes($value);      
  11.          }      
  12.      } else {      
  13.          $string = addslashes($string);      
  14.      }  
  15.      return $string;      

但是还可以更进一步进行重新编码,解码,代码如下:

//编码 
  1. function htmlencode($str) {       
  2.       if(emptyempty($str)) return;  
  3.       if($str==""return $str;        
  4.       $str=trim($str);  
  5.       $str=str_replace("&","&",$str);  
  6.       $str=str_replace(">",">",$str);  
  7.       $str=str_replace("<","<",$str);  
  8.       $str=str_replace(chr(32)," ",$str);  
  9.       $str=str_replace(chr(9)," ",$str);  
  10.       $str=str_replace(chr(34),"&",$str);  
  11.       $str=str_replace(chr(39),"'",$str);  
  12.       $str=str_replace(chr(13),"<br />",$str);  
  13.       $str=str_replace("'","''",$str);  
  14.       $str=str_replace("select","select",$str);  
  15.       $str=str_replace("join","join",$str);  
  16.       $str=str_replace("union","union",$str);  
  17.       $str=str_replace("where","where",$str);  
  18.       $str=str_replace("insert","insert",$str);  
  19.       $str=str_replace("delete","delete",$str);  
  20.       $str=str_replace("update","update",$str);  
  21.       $str=str_replace("like","like",$str);  
  22.       $str=str_replace("drop","drop",$str);  
  23.       $str=str_replace("create","create",$str);  
  24.       $str=str_replace("modify","modify",$str);  
  25.       $str=str_replace("rename","rename",$str);  
  26.       $str=str_replace("alter","alter",$str);  
  27.       $str=str_replace("cast","cas",$str);        
  28.       return $str;   

这样就能更放心的对外来数据进行入库处理了,但是从数据库取出来,在前台显示的时候,必须重新解码一下,代码如下:

  1. //解码 
  2.  
  3. function htmldecode($str) {       
  4.       if(emptyempty($str)) return;  
  5.       if($str=="")  return $str;  
  6.       $str=str_replace("select","select",$str);  
  7.       $str=str_replace("join","join",$str);  
  8.       $str=str_replace("union","union",$str);  
  9.       $str=str_replace("where","where",$str);  
  10.       $str=str_replace("insert","insert",$str);  
  11.       $str=str_replace("delete","delete",$str);  
  12.       $str=str_replace("update","update",$str);  
  13.       $str=str_replace("like","like",$str);  
  14.       $str=str_replace("drop","drop",$str);  
  15.       $str=str_replace("create","create",$str);  
  16.       $str=str_replace("modify","modify",$str);  
  17.       $str=str_replace("rename","rename",$str);  
  18.       $str=str_replace("alter","alter",$str);  
  19.       $str=str_replace("cas","cast",$str);  
  20.       $str=str_replace("&","&",$str);  
  21.       $str=str_replace(">",">",$str);  
  22.       $str=str_replace("<","<",$str);  
  23.       $str=str_replace(" ",chr(32),$str);  
  24.       $str=str_replace(" ",chr(9),$str);  
  25.       $str=str_replace("&",chr(34),$str);  
  26.       $str=str_replace("'",chr(39),$str);  
  27.       $str=str_replace("<br />",chr(13),$str);  
  28.       $str=str_replace("''","'",$str);   //开源代码phpfensi.com     
  29.       return $str;  

虽然多了一步编码,解码的过程,但是安全方面,会更进一步,要如何做,自己取舍吧.

再附一些代码如下:

  1. function safe_replace($string) { 
  2.  $string = str_replace(' ','',$string); 
  3.  $string = str_replace(''','',$string); 
  4.  $string = str_replace(''','',$string); 
  5.  $string = str_replace('*','',$string); 
  6.  $string = str_replace('"','"',$string); 
  7.  $string = str_replace("'",'',$string); 
  8.  $string = str_replace('"','',$string); 
  9.  $string = str_replace(';','',$string); 
  10.  $string = str_replace('<','<',$string); 
  11.  $string = str_replace('>','>',$string); 
  12.  $string = str_replace("{",'',$string); 
  13.  $string = str_replace('}','',$string); 
  14.  return $string
  15.  
  16. //更全面的代码如下: 
  17.  
  18. //处理提交的数据  
  19. function htmldecode($str) {  
  20.  if (emptyempty ( $str ) || "" == $str) {  
  21.  return "";  
  22.  }  
  23.    
  24.  $str = strip_tags ( $str );  
  25.  $str = htmlspecialchars ( $str );  
  26.  $str = nl2br ( $str );  
  27.  $str = str_replace ( "?"""$str );  
  28.  $str = str_replace ( "*"""$str );  
  29.  $str = str_replace ( "!"""$str );  
  30.  $str = str_replace ( "~"""$str );  
  31.  $str = str_replace ( "$"""$str );  
  32.  $str = str_replace ( "%"""$str );  
  33.  $str = str_replace ( "^"""$str );  
  34.  $str = str_replace ( "^"""$str );  
  35.  $str = str_replace ( "select"""$str );  
  36.  $str = str_replace ( "join"""$str );  
  37.  $str = str_replace ( "union"""$str );  
  38.  $str = str_replace ( "where"""$str );  
  39.  $str = str_replace ( "insert"""$str );  
  40.  $str = str_replace ( "delete"""$str );  
  41.  $str = str_replace ( "update"""$str );  
  42.  $str = str_replace ( "like"""$str );  
  43.  $str = str_replace ( "drop"""$str );  
  44.  $str = str_replace ( "create"""$str );  
  45.  $str = str_replace ( "modify"""$str );  
  46.  $str = str_replace ( "rename"""$str );  
  47.  $str = str_replace ( "alter"""$str );  
  48.  $str = str_replace ( "cast"""$str );  
  49.    
  50.  $farr = array ("//s+/", //过滤多余的空白  
  51. "/<(//?)(img|script|i?frame|style|html|body|title|link|meta|/?|/%)([^>]*?)>/isU", //过滤 <script 防止引入恶意内容或恶意代码,如果不需要插入flash等,还可以加入<object的过滤  
  52. "/(<[^>]*)on[a-zA-Z]+/s*=([^>]*>)/isU" )//过滤javascript的on事件  
  53. ;  
  54.  $tarr = array (" """//如果要直接清除不安全的标签,这里可以留空  
  55. "" );  
  56.  return $str;  
转载请注明来源:php过滤特殊危险字符的总结

  哈尔滨品用软件有限公司致力于为哈尔滨的中小企业制作大气、美观的优秀网站,并且能够搭建符合百度排名规范的网站基底,使您的网站无需额外费用,即可稳步提升排名至首页。欢迎体验最佳的哈尔滨网站建设