您的位置：首页 > 编程技术 > php  >  PHP防sql注入方法总结分析

PHP防sql注入方法总结分析

 更新时间：2016年11月25日 15:24  点击：1229
在程序开发中sql注入是一个大家常常会要考虑到的问题，下面我来解析一下常见的sql防注入代码，有需要的朋友可参考参考。

1、php提交数据过滤的基本原则 

1）提交变量进数据库时，我们必须使用addslashes()进行过滤，像我们的注入问题，一个addslashes()也就搞定了。其实在涉及到变量取值时，intval()函数对字符串的过滤也是个不错的选择。

2）在php.ini中开启magic_quotes_gpc和magic_quotes_runtime。magic_quotes_gpc可以把get,post,cookie里的引号变为斜杠。magic_quotes_runtime对于进出数据库的数据可以起到格式话的作用。其实，早在以前注入很疯狂时，这个参数就很流行了。

 代码如下 复制代码

<?
if ( isset($_POST["f_login"] ) )
{
  // 连接数据库...
  // ...代码略...
 
  // 检查用户是否存在
  $t_strUname = $_POST["f_uname"];
  $t_strPwd = $_POST["f_pwd"];
  $t_strSQL = "SELECT * FROM tbl_users WHERE username='$t_strUname' AND password = '$t_strPwd' LIMIT 0,1";

  if ( $t_hRes = mysql_query($t_strSQL) )
  {
    // 成功查询之后的处理. 略...
  }
}
?>

<html><head><title>sample test</title></head>
<body>
<form method=post action="">
  Username: <input type="text" name="f_uname" size=30><br>
  Password: <input type=text name="f_pwd" size=30><br>

  <input type="submit" name="f_login" value="登录">
</form>
</body>


3）在使用系统函数时，必须使用escapeshellarg(),escapeshellcmd()参数去过滤，这样你也就可以放心的使用系统函数。

4）对于跨站，strip_tags(),htmlspecialchars()两个参数都不错，对于用户提交的的带有html和php的标记都将进行转换。比如尖括号"<"就将转化为 "<"这样无害的字符。

 代码如下 复制代码
$new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES);
strip_tags($text,);

5）对于相关函数的过滤，就像先前的include(),unlink,fopen()等等，只要你把你所要执行操作的变量指定好或者对相关字符过滤严密，我想这样也就无懈可击了。

2、PHP简单的数据过滤

1）入库:  trim($str),addslashes($str)
2）出库:  stripslashes($str)
3）显示:  htmlspecialchars(nl2br($str))

一、 注入式攻击的类型

可能存在许多不同类型的攻击动机，但是乍看上去，似乎存在更多的类型。这是非常真实的-如果恶意用户发现了一个能够执行多个查询的办法的话。本文后面，我们会对此作详细讨论。
如
果你的脚本正在执行一个SELECT指令，那么，攻击者可以强迫显示一个表格中的每一行记录-通过把一个例如"1=1"这样的条件注入到WHERE子句中，如下所示(其中，注入部分以粗体显示)：

 代码如下 复制代码

SELECT * FROM wines WHERE variety = 'lagrein' OR 1=1;'

正如我们在前面所讨论的，这本身可能是很有用的信息，因为它揭示了该表格的一般结构(这是一条普通的记录所不能实现的)，以及潜在地显示包含机密信息的记录。
一条更新指令潜在地具有更直接的威胁。通过把其它属性放到SET子句中，一名攻击者可以修改当前被更新的记录中的任何字段，例如下面的例子（其中，注入部分以粗体显示）：

 代码如下 复制代码

UPDATE wines SET type='red'，'vintage'='9999' WHERE variety = 'lagrein'

通过把一个例如1=1这样的恒真条件添加到一条更新指令的WHERE子句中，这种修改范围可以扩展到每一条记录，例如下面的例子（其中，注入部分以粗体显示）：

 代码如下 复制代码

UPDATE wines SET type='red'，'vintage'='9999 WHERE variety = 'lagrein' OR 1=1;'

最危险的指令可能是DELETE-这是不难想像的。其注入技术与我们已经看到的相同-通过修改WHERE子句来扩展受影响的记录的范围，例如下面的例子（其中，注入部分以粗体显示）：
 

 代码如下 复制代码
DELETE FROM wines WHERE variety = 'lagrein' OR 1=1;'

二、 多个查询注入
多个查询注入将会加剧一个攻击者可能引起的潜在的损坏-通过允许多条破坏性指令包括在一个查询中。在使用MySQL数据库时，攻击者通过把一个出乎意料之外的终止符插入到查询中即可很容易实现这一点-此时一个注入的引号(单引号或双引号)标记期望变量的结尾；然后使用一个分号终止该指令。现在，一个另外的攻击指令可能被添加到现在终止的原始指令的结尾。最终的破坏性查询可能看起来如下所示：
代码如下:

 代码如下 复制代码

SELECT * FROM wines WHERE variety = 'lagrein';
GRANT ALL ON *.* TO 'BadGuy@%' IDENTIFIED BY 'gotcha';'

这个注入将创建一个新的用户BadGuy并赋予其网络特权（在所有的表格上具有所有的特权）；其中，还有一个"不祥"的口令被加入到这个简单的SELECT语句中。如果你遵循我们在以前文章中的建议－严格限制该过程用户的特权，那么，这应该无法工作，因为web服务器守护程序不再拥有你撤回的GRANT特权。但是从理论上讲，这样的一个攻击可能给予BadGuy自由权力来实现他对你的数据库的任何操作。

下面分享一个自己写的

 代码如下 复制代码

function phpsql_show($str){
 $str = stripslashes($str);
 $str = str_replace("&#92;", "", $str);
 $str = str_replace("&#47;", "/", $str);
 $str = str_replace("&#32;", " ", $str);
 $str = str_replace("&#44;", ",", $str);
 return $str;
}
function phpsql_post($str){
 $str = stripslashes($str);
 $str = str_replace("|", "&#124;", $str);
 $str = str_replace("<", "&#60;", $str);
 $str = str_replace(">", "&#62;", $str);
 $str = str_replace("&nbsp;", "&#32;", $str);
 $str = str_replace(" ", "&#32;", $str);
 $str = str_replace("(", "&#40;", $str);
 $str = str_replace(")", "&#41;", $str);
 $str = str_replace("`", "&#96;", $str);
 //$str = str_replace("'", "&#39;", $str);
 $str = str_replace('"', "&#34;", $str);
 $str = str_replace(",", "&#44;", $str);
 $str = str_replace("$", "&#36;", $str);
 $str = str_replace("", "&#92;", $str);
 $str = str_replace("/", "&#47;", $str);
 return $str;
}
function phpsql_replace($str){
 $str = stripslashes($str);
 $str = str_replace("'", "&#39;", $str);
 return $str;
}


总结一下：

* addslashes() 是强行加；
* mysql_real_escape_string() 会判断字符集，但是对PHP版本有要求；
* mysql_escape_string不考虑连接的当前字符集。

dz中的防止sql注入就是用addslashes这个函数，同时在dthmlspecialchars这个函数中有进行一些替换$string = preg_replace(/&((#(d{3,5}|x[a-fA-F0-9]{4}));)/, &1,这个替换解决了注入的问题，同时也解决了中文乱码的一些问题

在PHP5.3以下版本都会有安全模式safe_mode这个功能，只是默认状态都是关闭safe_mode安全模式的，下面我来介绍一下具体关于safe_mode开启与对系统的影响。

开启PHP安全模式（请注意，PHP5.3将不再有安全模式）

打开或者关闭php的安全模式是利用php.ini中的safe_mode选项：

 代码如下 复制代码

safe_mode=On(使用安全模式)

safe_mode=Off(关闭安全模式)

在apache的httpd.conf中VirtualHost的相应设置方法

php_admin_flag safe_mode On(使用安全模式)

php_admin_flag safe_mode Off(关闭安全模式)

或者：

php_admin_value safe_mode1(使用安全模式)

php_admin_value safe_mode0(关闭安全模式)


 
安全模式配置指令：
名称 默认值 可修改范围 更新记录
safe_mode "0" PHP_INI_SYSTEM
safe_mode_gid "0" PHP_INI_SYSTEM 自 PHP 4.1.0 起可用
safe_mode_include_dir NULL PHP_INI_SYSTEM 自 PHP 4.1.0 起可用
safe_mode_exec_dir "" PHP_INI_SYSTEM
safe_mode_allowed_env_vars "PHP_" PHP_INI_SYSTEM
safe_mode_protected_env_vars "LD_LIBRARY_PATH" PHP_INI_SYSTEM
open_basedir NULL PHP_INI_SYSTEM
disable_functions "" 仅 php.ini 自 PHP 4.0.1 起可用
disable_classes "" 仅 php.ini 自 PHP 4.3.2 起可用

当安全模式打开的时候，以下函数列表的功能将会受到限制：

函数名 限制
dbmopen() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。
dbase_open() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。
filepro() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。
filepro_rowcount() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。
filepro_retrieve() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。
ifx_* sql_safe_mode 限制, (!= safe mode)
ingres_* sql_safe_mode 限制, (!= safe mode)
mysql_* sql_safe_mode 限制, (!= safe mode)
pg_loimport() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。
posix_mkfifo() 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。
putenv() 遵循 ini 设置的 safe_mode_protected_env_vars 和 safe_mode_allowed_env_vars 选项。请参考 putenv() 函数的有关文档。
move_uploaded_file() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。
chdir() 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。
dl() 本函数在安全模式下被禁用。
backtick operator 本函数在安全模式下被禁用。
shell_exec()（在功能上和 backticks 函数相同） 本函数在安全模式下被禁用。
exec() 只能在 safe_mode_exec_dir 设置的目录下进行执行操作。基于某些原因，目前不能在可执行对象的路径中使用 ..。escapeshellcmd() 将被作用于此函数的参数上。
system() 只能在 safe_mode_exec_dir 设置的目录下进行执行操作。基于某些原因，目前不能在可执行对象的路径中使用 ..。escapeshellcmd() 将被作用于此函数的参数上。
passthru() 只能在 safe_mode_exec_dir 设置的目录下进行执行操作。基于某些原因，目前不能在可执行对象的路径中使用 ..。escapeshellcmd() 将被作用于此函数的参数上。
popen() 只能在 safe_mode_exec_dir 设置的目录下进行执行操作。基于某些原因，目前不能在可执行对象的路径中使用 ..。escapeshellcmd() 将被作用于此函数的参数上。
fopen() 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。
mkdir() 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。
rmdir() 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。
rename() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。
unlink() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。
copy() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 (on source and target)
chgrp() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。
chown() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。
chmod() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 另外，不能设置 SUID、SGID 和 sticky bits
touch() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。
symlink() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 （注意：仅测试 target）
link() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 （注意：仅测试 target）
apache_request_headers() 在安全模式下，以“authorization”（区分大小写）开头的标头将不会被返回。
header() 在安全模式下，如果设置了 WWW-Authenticate，当前脚本的 uid 将被添加到该标头的 realm 部分。
PHP_AUTH 变量 在安全模式下，变量 PHP_AUTH_USER、PHP_AUTH_PW 和 PHP_AUTH_TYPE 在 $_SERVER 中不可用。但无论如何，您仍然可以使用 REMOTE_USER 来获取用户名称（USER）。（注意：仅 PHP 4.3.0 以后有效）
highlight_file(), show_source() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 （注意，仅在 4.2.1 版本后有效）
parse_ini_file() 检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 （注意，仅在 4.2.1 版本后有效）
set_time_limit() 在安全模式下不起作用。
max_execution_time 在安全模式下不起作用。
mail() 在安全模式下，第五个参数被屏蔽。（注意，仅自 PHP 4.2.3 起受影响）

同样的，一些php扩展中的函数也将会受到影响。(加载模块：在安全模式下dl函数将被禁止，如果要加载扩展的话，只能修改php.ini中的扩展选项，在php启动的时候加载)

在php安全模式打开的时候，需要执行系统程序的时候，必须是在safe_mode_exec_dir选项指定目录的程序，否则执行将失败。即使允许执行，那么也会自动的传递给escapeshellcmd函数进行过滤。

以下执行命令的函数列表将会受到影响：

exec,shell_exec,passthru,system,popen

另外，背部标记操作符(`)也将被关闭。

当运行在安全模式下，虽然不会引起错误，但是putenv函数将无效。同样的，其他一些尝试改变php环境变量的函数set_time_limit, set_include_path也将被忽略。


安全模式后的影响：
当函数在访问文件系统的时候将进行文件所有者的检查。缺省情况下，会检查该文件所有者的用户id，当你能够修改文件所有者的组id(gid)为safe_mode_gid选项所指定的。

如果你有一个共享库文件在你的系统上，当你碰到需要include或require的时候，那么你可以使用safe_mode_include_dir选项来设置你的路径，保证你的代码正常工作。(包含路径：如果你想要使用safe_mode_include_dir选项包含更多的包含路径，那么你可以象include_path选项一样，在unix/linux系统下使用冒号进行分割，在windows下使用分号进行分割)

比如你想要在安全模式下包含/usr/local/include/php下的文件，那么你可以设置选项为：

safe_mode_include_dir=/usr/local/include/php

如果你的包含的文件是需要执行的，那么你可以设置safe_mode_exec_dir选项。
比如你需要/usr/local/php-bin路径下的文件是可以执行的，那么可以设置选项为：

safe_mode_exec_dir=/usr/local/php-bin

(可执行：如果你执行的程序在/usr/bin目录下，那么你可以把这些的二进制文件，连接到你指定选项下能够执行的路径)

如果你想设置某些环境变量，那么可以使用safe_mode_allowed_env_vars选项。这个选项的值是一个环境变量的前缀，缺省是允许php_开头的环境变量，如果你想要改变，可以设置该选项的值，多个环境变量前缀之间使用逗号进行分割。

比如下面允许时区的环境变量tz，那么修改该选项的值为：

safe_mode_allowed_env_vars=php_,tz

除了安全模式以外，php还提供了许多其他许多特征来保证php的安全。

1、[隐藏php的版本号]

你能够在php.ini里使用expose_php选项来防止web服务器泄露php的报告信息。如下：

expose_php=on

利用整个设置，你能够阻碍一些来自自动脚本针对web服务器的攻击。通常情况下，http的头信息里面包含了如下信息：

server:apache/1.3.33(unix)php/5.2.4mod_ssl/2.8.16openssl/0.9.7c

在expose_php选项打开以后，php的版本信息将不包含在上面的头信息里。

当然，用户访问网站的时候同样能够看到.php的文件扩展名。如果你想整个的使用不同的文件扩展名，你需要在httpd.conf中找到如下这行：

addtype application/x-httpd.php

你就可以修改.php为任何你喜欢的文件扩展名。你能够指定任意多个的文件扩展名，中间使用空格进行分割。如果你想在服务器端使用php来解析.html和.htm文件的时候，那么你设置选项如下：

addtype application/x-httpd.html.htm

(解析html：配置你的web服务器使用php去解析所有的html文件，但是如果非服务器端代码也需要php去解析，会影响服务器的性能。静态页面你可以使用不同的扩展名，这样能够消除对php脚本引擎的依赖，增强性能。)

2、[文件系统安全]

安全模式限制了脚本所有者只能访问属于自己的文件，但是你可以使用open_basedir选现来指定一个你必须访问的目录。如果你指定了一个目录，php将拒绝访问除了该目录和该目录子目录的其他目录。open_basedir选项能够工作在安全模式之外。

限制文件系统只能访问/tmp目录，那么设置选项为：

open_basedir=/tmp

3、[函数访问控制]

你能够在disable_functions选项中使用逗号分割来设定函数名，那么这些函数将在php脚本中被关闭。这个设置能够工作在安全模式之外。

disable_functions=dl

当然，同样的你能够使用disable_classes选项来关闭对一些类的访问。

4、[数据库安全]

假设你的php脚本中包含一个基于表单值来执行的mysql查询：

$sql=”update mytable set col1=”.$_post["value"].”where col2=’somevalue’”;

$res=mysql_query($sql,$db);

你希望$_post["value"]包含一个整数值来更新你的列col1。可是，一个恶意用户能够输入一个分号在表单字段里，接着，是一段他/她想被任意执行的sql语句。

举例，假设下面是$_post["value"]提交的值：

0;insert into admin_users(username,password) values (‘me’,'mypassword’);

那么当这个查询发送给mysql查询的时候，那么就变成了下面这条sql：

update mytable set col1=0;

insert into admin_users(username,password) values (‘me’,'mypassword’);

where col2=’somevalue’;

这明显是一个有害的查询！首先这个查询会在mytable表里更新col1。这个并没有什么麻烦的，但是第二个表达式，它将执行insert表达式来插入一个能登陆的新管理员。第三个表达式就废弃了，但同时sql解析器将抛出一个错误，这个有害的查询才完成。这个攻击就是大家常说的sql injection（注：sql注入）。

当然，sql injection存在一个问题，对方必须了解你的数据库结构。在这个例子中，攻击者是知道你有一个表admin_users，并且知道包含username和password字段，同时，存储的密码是没有加密的。

除了你自己，一般的网站访问者是不知道这些关于数据库的信息。可是，如果你使用了一个开发源代码的在线电子商务程序，或者使用一个自由的讨论版程序，这些数据表的定义都是已知的，或者有一些用户能够访问到你的数据库。

此外，你的脚本输出会提示一个查询错误，这些信息里包含了很多关于数据库结构的重要信息。在一个正常工作的网站上，你应该考虑设置display_errors选项为off，并且使用log_errors来代替display_errors，把警告和错误信息插入到文件中。

(数据库权限：它是一个非常重要的东西，你只有正确的权限，才能通过脚本正确的连接数据库。你应该不要在脚本中使用管理员去连接数据库。如果你这么做，那么一个攻击者将可能获取全部的数据库权限，并且包括其他相同服务器的权限。攻击者将可能运行grant或create user命令来获取更多的访问权限。)

如果你要防止sql injection攻击，你必须保证用户表单里提交的内容不是一个能够执行的sql表达式。

前一个例子中，我们使用一个整型值来进行更新。如果在单引号后面跟上一个字符串，这个攻击者在分号之前必须提交一个闭合的引用在整个sql表达式中。可是，当magic_quotes_gpc选项是开启的时候，在web表单中提交的引号将自动被转义。

为了防止被恶意的攻击者进行sql injection攻击，你应该总是确认提交的数据是合法的。如果你需要的是一个整数值，那么你可以使用is_numeric函数来测试这个表达值，或者使用settype函数来转换为一个数字，清除任何一个傻傻的sql语句。

如果你开发的程序需要几个提交的值在一个sql表达式里，你能够使用sprintf函数来构建一个sql字符串，使用格式化字符来指示数据类型的每个值。看下面的例子：

$sql=sprintf(“update mytable set col1=%d where col2=’%s’”, $_post["number"], mysql_escape_string($_post["string"]));

在上一个例子中，整个mysql的数据已经被使用，所以这个字符串已经通过mysql_escape_string函数进行过滤。对于其他数据库，你可以使用addslashes函数进行转义，或者使用其他方法

在我们做留言板时经常会需要去屏蔽关键字一些关键字，下面我来介绍利用txt保存要屏蔽关键字，然后再根据用户提交的数据进行过滤。

先看strpos函数

strpos() 函数返回字符串在另一个字符串中第一次出现的位置。

如果没有找到该字符串，则返回 false。

语法

strpos(string,find,start)参数 描述
string 必需。规定被搜索的字符串。
find 必需。规定要查找的字符。
start 可选。规定开始搜索的位置。

提示和注释

注释：该函数对大小写敏感。如需进行对大小写不敏感的搜索，请使用 stripos() 函数。

例子

 代码如下 复制代码

<?php
echo strpos("Hello world!","wo");
?>

一、把关键字专门写在一个文本文件里，每行一个，数量不限，有多少写多少。

二、PHP读取关键字文本，存入一个数组

三、遍历关键字数组，挨个用strpos函数去看看内容有没有关键字，如果有，返回true,没有则返回false


PHP代码如下

 代码如下 复制代码

/**
 * PHP中用strpos函数过滤关键字
 * 琼台博客
 */
// 关键字过滤函数
function keyWordCheck($content){
        // 去除空白
    $content = trim($content);
        // 读取关键字文本
    $content = @file_get_contents('keyWords.txt');
        // 转换成数组
    $arr = explode("n", $content);
        // 遍历检测
    for($i=0,$k=count($arr);$i<$k;$i++){
                // 如果此数组元素为空则跳过此次循环
        if($arr[$i]==''){
              continue;   
        }
 
                // 如果检测到关键字，则返回匹配的关键字,并终止运行
        if(@strpos($str,$arr[$i])!==false){
            //$i=$k;   
            return $arr[$i];
        }   
    }
        // 如果没有检测到关键字则返回false   
    return false;
}
 
 
$content = '这里是要发布的文本内容。。。';
 
// 过滤关键字
$keyWord =  keyWordCheck($content);
 
// 判断是否存在关键字
if($keyWord){
        echo '你发布的内容存在关键字'.$keyWord;
}else{
        echo '恭喜！通过关键字检测';
        // 往下可以进行写库操作完成发布动作。
}

 

写完代码后，故意在变量$content中写了一个关键字内容，然后运行发现没有检测到关键字，执行结果是通过，换成其它禁止的关键字都通过。
郁闷，开始判断是不是哪里出问题
编码问题？ 立即把keyWord.txt文件再次用记事本打开，然后另存为UTF-8格式。结果还是不行。
没有获取到keyWord.txt文本内容？ 立即 print_r() 发现正常读取并按行转成了数组。
于是，我把关键字数组直接声明写成死的在程序中

 代码如下 复制代码

<?php
/**
 * PHP中用strpos函数过滤关键字
 * 琼台博客
 */
// 关键字过滤函数
function keyWordCheck($content){
        // 去除空白
    $content = trim($content);
        // 读取关键字文本
    //$content = @file_get_contents('keyWords.txt');
        // 转换成数组
    //$arr = explode("n", $content);
        // 直接在程序中声明关键字数组
        $arr = array('关键字1','关键字2','关键字3','关键字4'...);
        // 遍历检测
    for($i=0,$k=count($arr);$i<$k;$i++){
                // 如果此数组元素为空则跳过此次循环
        if($arr[$i]==''){
              continue;   
        }
 
                // 如果检测到关键字，则返回匹配的关键字,并终止运行
        if(@strpos($str,$arr[$i])!==false){
            //$i=$k;   
            return $arr[$i];
        }   
    }
        // 如果没有检测到关键字则返回false   
    return false;
}
 
$content = '这里是要发布的内容，含有关键字2';
// 过滤关键字
$keyWord =  keyWordCheck($content);
 
// 判断是否存在关键字
if($keyWord){
        echo '你发布的内容存在关键字【'.$keyWord.'】';
}else{
        echo '恭喜！通过关键字检测';
        // 往下可以进行写库操作完成发布动作。
}
// 程序运行结果：你发布的内容存在关键字【关键字2】
// 程序正常

如果在PHP中声明关键字数组，就能起到作用，如果读取文本文件就无效，见鬼了？
正在百思不得其解之时，想到了会不会是从文本文件中读取的内容有空格或者换行符没有过滤所导致？于是在遍历匹配那里加了一个trim函数

加了trim()函数过滤空白后运行通过测试，原来瞎折腾了半天问题就在这里。

 代码如下 复制代码

 

/**
 * PHP中用strpos函数过滤关键字
 * 琼台博客
 */
// 关键字过滤函数
function keyWordCheck($content){
        // 去除空白
    $content = trim($content);
        // 读取关键字文本
    $content = @file_get_contents('keyWords.txt');
        // 转换成数组
    $arr = explode("n", $content);
        // 遍历检测
    for($i=0,$k=count($arr);$i<$k;$i++){
                // 如果此数组元素为空则跳过此次循环
        if($arr[$i]==''){
              continue;   
        }
 
                // 如果检测到关键字，则返回匹配的关键字,并终止运行
                // 这一次加了 trim()函数
        if(@strpos($str,trim($arr[$i]))!==false){
            //$i=$k;   
            return $arr[$i];
        }   
    }
        // 如果没有检测到关键字则返回false   
    return false;
}
 
 
$content = '这里是要发布的文本内容。。。';
 
// 过滤关键字
$keyWord =  keyWordCheck($content);
 
// 判断是否存在关键字
if($keyWord){
        echo '你发布的内容存在关键字'.$keyWord;
}else{
        echo '恭喜！通过关键字检测';
        // 往下可以进行写库操作完成发布动作。
}
我们在做留言系统时经常会想把一些不出现的敏感词过滤掉了，下面是一个简单的实现，其实我们可以利用数据库来保存这些信息，然后查出来再作判断即可。
 代码如下 复制代码
/用正则表达式（把脏话想替换成什么就替换成什么）
   $str = "aa=!!|bb=@@|cc=##|dd=$$|ee=%%|ff=^^|gg=&amp;&amp;";
    $arr = explode('|',$str);
    foreach($arr as $key=&gt;$val)
    {
        $array[] = explode('=',$val);
    }
    print_r($array);
 
    for($i=0;$i&lt;count($array);$i++)
    {
        $a1[] = &quot;/&quot;.$array[$i][0].&quot;/&quot;;
        $a2[] = $array[$i][1];
    }
 
    unset($arr);
    $message= &#039;呵呵 就是一个反社会的时代 WOCAO madE&#039;;
    echo $message.&#039;<br>';
    print preg_replace($a1,$a2,$message);  //支持参数个数组 但是参数区分大小写
  <strong></strong> print eregi_replace($arr1,array('!!','@@','##','$$','%%','^^','&amp;&amp;'),$message); //不支持数组  但是参数 不区分大小写
下面一款防止php页面给sql注入的一个程序代码，有需要的朋友可参考。

以下代码实现过滤php的$_GET 和$_POST参数

 代码如下 复制代码

/**
* 安全防范
*/
function Add_S($array)
{
foreach($array as $key=>$value)
{
if(!is_array($value))
{
$value = get_magic_quotes_gpc()?$value:addslashes($value);
$array[$key]=filterHtml($value);
}
Else
{
Add_S($array[$key]);
}
}
return $array;
}
function glstr($var) {

if (is_array($var)) {
return Add_S($var);
}
elseif(strlen($var)){
$var = get_magic_quotes_gpc()?$var:addslashes($var);

$var = filterHtml($var);
}
return $var;
}
function filterHtml($html)
{
$farr = array(
"/<!DOCTYPE([^>]*?)>/eis",
"/<(/?)(html|body|head|link|meta|base|input)([^>]*?)>/eis",
"/<(script|i?frame|style|title|form)(.*?)</\1>/eis",
"/(<[^>]*?s+)on[a-z]+s*?=("|')([^\2]*)\2([^>]*?>)/isU",//过滤javascript的on事件
"/s+/",//过滤多余的空白
);
$tarr = array(
"",
"",
"",
"\1\4",
" ",
);
$html = preg_replace( $farr,$tarr,$html);
return $html;
}
if (sizeof($_GET)) {
foreach($_GET as $key => $value) {
$_GET[$key] = glstr($value); //
}

}
if (sizeof($_POST)) {
foreach($_POST as $key => $value) {
$_POST[$key] = glstr($value); //
}
}
[!--infotagslink--]

相关文章

  • phpems SQL注入(cookies)分析研究

    PHPEMS（PHP Exam Management System）在线模拟考试系统基于PHP+Mysql开发，主要用于搭建模拟考试平台，支持多种题型和展现方式，是国内首款支持题冒题和自动评分与教师评分相...2016-11-25

  • ASP/PHP sql注入语句整理大全

    SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作 标准注入语句1.判...2016-11-25

  • php 中file_get_contents超时问题的解决方法

    file_get_contents超时我知道最多的原因就是你机器访问远程机器过慢，导致php脚本超时了，但也有其它很多原因，下面我来总结file_get_contents超时问题的解决方法总结。...2016-11-25

  • PHP防止SQL注入的例子

    防止SQL注入是我们程序开发人员必须要做的事情了，今天我们就来看一篇关于PHP防止SQL注入的例子了，具体的实现防过滤语句可以参考下面来看看吧。 使用prepared以及参...2016-11-25

  • php抓取网站图片并保存的实现方法

    php如何实现抓取网页图片，相较于手动的粘贴复制，使用小程序要方便快捷多了，喜欢编程的人总会喜欢制作一些简单有用的小软件，最近就参考了网上一个php抓取图片代码，封装了一个php远程抓取图片的类，测试了一下，效果还不错分享...2015-10-30

  • HTTP 408错误是什么 HTTP 408错误解决方法

    相信很多站长都遇到过这样一个问题，访问页面时出现408错误，下面一聚教程网将为大家介绍408错误出现的原因以及408错误的解决办法。 HTTP 408错误出现原因： HTT...2017-01-22

  • Android子控件超出父控件的范围显示出来方法

    下面我们来看一篇关于Android子控件超出父控件的范围显示出来方法，希望这篇文章能够帮助到各位朋友，有碰到此问题的朋友可以进来看看哦。 <RelativeLayout xmlns:an...2016-10-02

  • ps把文字背景变透明的操作方法

    ps软件是现在非常受大家喜欢的一款软件，有着非常不错的使用功能。这次文章就给大家介绍下ps把文字背景变透明的操作方法，喜欢的一起来看看。 1、使用Photoshop软件...2017-07-06

  • intellij idea快速查看当前类中的所有方法(推荐)

    这篇文章主要介绍了intellij idea快速查看当前类中的所有方法,本文通过实例代码给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下...2020-09-02

  • Mysql select语句设置默认值的方法

    1.在没有设置默认值的情况下： 复制代码 代码如下:SELECT userinfo.id, user_name, role, adm_regionid, region_name , create_timeFROM userinfoLEFT JOIN region ON userinfo.adm_regionid = region.id 结果：...2014-05-31

  • js导出table数据到excel即导出为EXCEL文档的方法

    复制代码 代码如下: <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta ht...2013-10-13

  • mysql 批量更新与批量更新多条记录的不同值实现方法

    批量更新mysql更新语句很简单，更新一条数据的某个字段，一般这样写：复制代码 代码如下:UPDATE mytable SET myfield = 'value' WHERE other_field = 'other_value';如果更新同一字段为同一个值，mysql也很简单，修改下where即...2013-10-04

  • ps怎么制作倒影 ps设计倒影的方法

    ps软件是一款非常不错的图片处理软件，有着非常不错的使用效果。这次文章要给大家介绍的是ps怎么制作倒影，一起来看看设计倒影的方法。 用ps怎么做倒影最终效果&#819...2017-07-06

  • js基础知识（公有方法、私有方法、特权方法）

    本文涉及的主题虽然很基础，在许多人看来属于小伎俩，但在JavaScript基础知识中属于一个综合性的话题。这里会涉及到对象属性的封装、原型、构造函数、闭包以及立即执行表达式等知识。公有方法 公有方法就是能被外部访问...2015-11-08

  • 安卓手机wifi打不开修复教程，安卓手机wifi打不开解决方法

    手机wifi打不开？让小编来告诉你如何解决。还不知道的朋友快来看看。 手机wifi是现在生活中最常用的手机功能，但是遇到手机wifi打不开的情况该怎么办呢?如果手机wifi...2016-12-21

  • PHP 验证码不显示只有一个小红叉的解决方法

    最近想自学PHP ，做了个验证码，但不知道怎么搞的，总出现一个如下图的小红叉，但验证码就是显示不出来，原因如下 未修改之前，出现如下错误； （1）修改步骤如下，原因如下，原因是apache权限没开， （2）点击打开php.int.， 搜索extension=ph...2013-10-04

  • c#中分割字符串的几种方法

    单个字符分割 string s="abcdeabcdeabcde"; string[] sArray=s.Split('c'); foreach(string i in sArray) Console.WriteLine(i.ToString()); 输出下面的结果: ab de...2020-06-25

  • js控制页面控件隐藏显示的两种方法介绍

    javascript控制页面控件隐藏显示的两种方法，方法的不同之处在于控件隐藏后是否还在页面上占位 方法一： 复制代码 代码如下: document.all["panelsms"].style.visibility="hidden"; document.all["panelsms"].style.visi...2013-10-13

  • 连接MySql速度慢的解决方法(skip-name-resolve)

    最近在Linux服务器上安装MySql5后，本地使用客户端连MySql速度超慢，本地程序连接也超慢。 解决方法：在配置文件my.cnf的[mysqld]下加入skip-name-resolve。原因是默认安装的MySql开启了DNS的反向解析。如果禁用的话就不能...2015-10-21

  • C#方法的总结详解

    本篇文章是对C#方法进行了详细的总结与介绍，需要的朋友参考下...2020-06-25