显示格式化的用户输入
更新时间：2016年11月25日 15:20 点击：2314
这个文档描述如何安全显示的有格式的用户输入。我们将讨论没有经过过滤的输出的危险，给出一个安全的显示格式化输出的方法。
没有过滤输出的危险
如果你仅仅获得用户的输入然后显示它，你可能会破坏你的输出页面，如一些人能恶意地在他们提交的输入框中嵌入
javascript脚本：
This is my comment.
<script language="javascript:
alert('Do something bad here!')">.
这样，即使用户不是恶意的，也会破坏你的一些HTML的语句，如一个表格突然中断，或是页面显示不完整。
只显示无格式的文本
这是一个最简单的解决方案，你只是将用户提交的信息显示为无格式的文本。使用htmlspecialchars()函数，将转化全部的字符为HTML的编码。
如<b>将转变为<b>，这可以保证不会有意想不到的HTML标记在不适当的时候输出。
这是一个好的解决方案，如果你的用户只关注没有格式的文本内容。但是，如果你给出一些可以格式化的能力，它将更好一些
Formatting with Custom Markup Tags
用户自己的标记作格式化
你可以提供特殊的标记给用户使用，例如，你可以允许使用...加重显示，...斜体显示，这样做简单的查找替换操作就可以了：
$output = str_replace("", "<b>", $output);
$output = str_replace("", "<i>", $output);
再作的好一点，我们可以允许用户键入一些链接。例如，用户将允许输入[link="url"]...[/link]，我们将转换为<a href="">...</a>语句
这时，我们不能使用一个简单的查找替换，应该使用正则表达式进行替换：
$output = ereg_replace('[link="([[:graph:]]+)"]', '<a href="1">', $output);
ereg_replace()的执行就是：
查找出现[link="..."]的字符串，使用<a href="..."> 替换它
[[:graph:]]的含义是任何非空字符，有关正则表达式请看相关的文章。
在outputlib.php的format_output()函数提供这些标记的转换，总体上的原则是：
调用htmlspecialchars()将HTML标记转换成特殊编码，将不该显示的HTML标记过滤掉，
然后，将一系列我们自定义的标记转换相应的HTML标记。
<?php
function format_output($output) {
/****************************************************************************
作者:井中月
例子1：创建和使用你自己的JAVA类
创建你自己的JAVA类非常容易。新建一个phptest.java文件，将它放置在你的java.class.path目录下，文件内容如下：
public class phptest{
/**
* A sample of a class that can work with PHP
* NB: The whole class must be public to work,
* and of course the methods you wish to call
* directly.
*
* Also note that from PHP the main method
* will not be called
*/
public String foo;
/**
* Takes a string and returns the result
* or a msg saying your string was empty
*/
public String test(String str) {
if(str.equals("")) {
str = "Your string was empty. ";
}
return str;
}
/**
* whatisfoo() simply returns the value of the variable foo.
*/
public String whatisfoo() {
return "foo is " + foo;
}
/**
* This is called if phptest is run from the command line with
* something like
* java phptest
* or
* java phptest hello there
*/
public static void main(String args[]) {
phptest p = new phptest();
if(args.length == 0) {
String arg = "";
System.out.println(p.test(arg));
}else{
for (int i=0; i < args.length; i++) {
String arg = args[i];
System.out.println(p.test(arg));
}
}
}
}
创建这个文件后，我们要编译好这个文件，在DOS命令行使用javac phptest.java这个命令。
为了使用PHP测试这个JAVA类，我们创建一个phptest.php文件，内容如下：
$myj = new Java("phptest");
echo "Test Results are " . $myj->test("Hello World") . "";
$myj->foo = "A String Value";
echo "You have set foo to " . $myj->foo . "
n";
echo "My java method reports: " . $myj->whatisfoo() . "
n";
?>
如果你得到这样的警告信息：java.lang.ClassNotFoundException error ，这就意味着你的phptest.class文件不在你的java.class.path目录下。
注意的是JAVA是一种强制类型语言，而PHP不是，这样我们在将它们融合时，容易导致错误，于是我们在向JAVA传递变量时，要正确指定好变量的类型。如：$myj->foo = (string) 12345678; or $myj->foo = "12345678";
这只是一个很小的例子，你可以创建你自己的JAVA类，并使用PHP很好的调用它！
PHP 世界中缓冲是一个热门的话题，因为 PHP 产生的动态页面，每次用户请求都需要重新计算，不论请求的结果是否一样，同时，PHP 每次都会编译一次脚本。这样的超负荷运转对一个流量很高的网站来说肯定难以忍受。幸运的是， Web 的结果可以缓冲，而不需要重新运行和编译脚本，商品化的产品像 ZendCache 或者开源的 Alternate PHP Cache都提供了把 PHP 脚本编译为字节代码并缓冲的办法。
PEAR 的缓冲包提供了缓冲动态内容，数据库查询和 PHP 函数调用的框架。
就像 Perl 有 CPAN, TeX 有 CTAN，PHP 也有自己的中心资源库，存放类，库和模块。这个库称为 PEAR（PHP Extension and Add-On Repository）。
本文假设你已经安装了 PEAR 环境，如果没有的话，可以去 PHP 网站下载。
PEAR 的缓冲包包含一个总体的缓冲类和几个特别的子类。缓冲类使用容器类来存贮和管理缓冲数据。
下面是 PEAR 缓冲当前所包含的容器，以及各自的参数：
file -- file 容器在文件系统存储了缓冲的数据，是最快的容器。
cache_dir -- 这是容器存储文件的目录。
filename_prefix -- 缓冲文件的前缀，例如："cache_"。
shm -- shm 容器把缓冲数据放入共享内存，基准测试显示，目前的实现下，这个容器的速度要比文件容器慢。
shm_key -- 共享内存使用的键值。
shm_perm -- 使用共享内存数据段的权限。
shm_size -- 分配共享内存的大小。
sem_key -- 信号灯的键值。
sem_perm -- 信号灯的权限。
db -- PEAR 的数据库抽象层。
dsn -- 数据库连接的 DSN 。可以参考 PEAR 的 DB 文档。
cache_table -- 表的名字。
phplib -- phplib 容器使用数据库抽象层存储缓冲。
db_class
db_file
db_path
local_file
local_path
ext/dbx -- PHP 的数据库抽象层扩展，如果像把缓冲存入数据库，可以采用这个容器。
module
host
db
username
password
cache_table
persistent
使用 PEAR Cache 所得到的性能提升取决于你所选择的缓冲容器，例如，把数据库的结果再次存入数据库缓冲中就显得毫无意义。
PEAR Cache 的函数缓冲模块能把任何函数或者方法的结果缓冲，不论是 PHP 的内置函数还是用户自定义函数，他缺省采用文件容器，把缓冲数据放入到一个叫做
function_cache 的目录。
Cache_Function 类的构造器可以有三个可选的参数：
在PHP编程中, 我们经常会遇到一些直接产生输出的函数, 如passthru(),readfile(), var_dump() 等. 但有时我们想把这些函数的输出导入到文件中,或者先经过处理再输出, 或者把这些函数的输出作为字符串来处理.
这时我们就要用到 Output Buffer(输出缓冲) 函数了.
处理输出缓冲的函数主要有这么几个:
ob_start() 开始输出缓冲, 这时PHP停止输出, 在这以后的输出都被转到一个内部的缓冲里.
ob_get_contents() 这个函数返回内部缓冲的内容. 这就等于把这些输出都变成了字符串.
ob_get_ length() 返回内部缓冲的长度.
ob_end_flush() 结束输出缓冲, 并输出缓冲里的内容. 在这以后的输出都是正常输出.
ob_end_clean() 结束输出缓冲, 并扔掉缓冲里的内容.
举个例子, var_dump()函数输出一个变量的结构和内容, 这在调试的时候很有用.
但如果变量的内容里有 < , > 等HTML的特殊字符, 输出到网页里就看不见了. 怎么办呢?
用输出缓冲函数能很容易的解决这个问题.
ob_start();
var_dump($var);
$out = ob_get_contents();
ob_end_clean();
这时var_dump()的输出已经存在 $out 里了. 你可以现在就输出:
echo '<pre>' . htmlspecialchars($out) . '</pre>' ;
或者等到将来, 再或者把这个字符串送到模板(Template)里再输出.
PHP中的面向对象功能支持 C++ 式的 :: 运算符号！！！
//孤狼：这个::在PEAR中可是频频出现，第一次见的时候搞的我莫名其妙 :)
这个特色文档没有任何说明，但是却有着很好的使用价值。
举一个简单的例子：
比如你以前有很多收集的函数库，你想转向 OOP 方式编程，但是还不能做到完全的封装。
这个特色提供你一个OOP风格的实现。
你定义一个 Util 类：
class Util {
//将所有的函数剪辑到这里
//这个类可以没有任何成员函数
}
然后在你原先使用函数的地方，比如 someFunction()， 修改成：
Util::someFunction(). 这对你需要封装，但是不需要任何成员函数非常有用。
没有过滤输出的危险
如果你仅仅获得用户的输入然后显示它，你可能会破坏你的输出页面，如一些人能恶意地在他们提交的输入框中嵌入
javascript脚本：
This is my comment.
<script language="javascript:
alert('Do something bad here!')">.
这样，即使用户不是恶意的，也会破坏你的一些HTML的语句，如一个表格突然中断，或是页面显示不完整。
只显示无格式的文本
这是一个最简单的解决方案，你只是将用户提交的信息显示为无格式的文本。使用htmlspecialchars()函数，将转化全部的字符为HTML的编码。
如<b>将转变为<b>，这可以保证不会有意想不到的HTML标记在不适当的时候输出。
这是一个好的解决方案，如果你的用户只关注没有格式的文本内容。但是，如果你给出一些可以格式化的能力，它将更好一些
Formatting with Custom Markup Tags
用户自己的标记作格式化
你可以提供特殊的标记给用户使用，例如，你可以允许使用...加重显示，...斜体显示，这样做简单的查找替换操作就可以了：
$output = str_replace("", "<b>", $output);
$output = str_replace("", "<i>", $output);
再作的好一点，我们可以允许用户键入一些链接。例如，用户将允许输入[link="url"]...[/link]，我们将转换为<a href="">...</a>语句
这时，我们不能使用一个简单的查找替换，应该使用正则表达式进行替换：
$output = ereg_replace('[link="([[:graph:]]+)"]', '<a href="1">', $output);
ereg_replace()的执行就是：
查找出现[link="..."]的字符串，使用<a href="..."> 替换它
[[:graph:]]的含义是任何非空字符，有关正则表达式请看相关的文章。
在outputlib.php的format_output()函数提供这些标记的转换，总体上的原则是：
调用htmlspecialchars()将HTML标记转换成特殊编码，将不该显示的HTML标记过滤掉，
然后，将一系列我们自定义的标记转换相应的HTML标记。
<?php
function format_output($output) {
/****************************************************************************
作者:井中月
例子1：创建和使用你自己的JAVA类
创建你自己的JAVA类非常容易。新建一个phptest.java文件，将它放置在你的java.class.path目录下，文件内容如下：
public class phptest{
/**
* A sample of a class that can work with PHP
* NB: The whole class must be public to work,
* and of course the methods you wish to call
* directly.
*
* Also note that from PHP the main method
* will not be called
*/
public String foo;
/**
* Takes a string and returns the result
* or a msg saying your string was empty
*/
public String test(String str) {
if(str.equals("")) {
str = "Your string was empty. ";
}
return str;
}
/**
* whatisfoo() simply returns the value of the variable foo.
*/
public String whatisfoo() {
return "foo is " + foo;
}
/**
* This is called if phptest is run from the command line with
* something like
* java phptest
* or
* java phptest hello there
*/
public static void main(String args[]) {
phptest p = new phptest();
if(args.length == 0) {
String arg = "";
System.out.println(p.test(arg));
}else{
for (int i=0; i < args.length; i++) {
String arg = args[i];
System.out.println(p.test(arg));
}
}
}
}
创建这个文件后，我们要编译好这个文件，在DOS命令行使用javac phptest.java这个命令。
为了使用PHP测试这个JAVA类，我们创建一个phptest.php文件，内容如下：
$myj = new Java("phptest");
echo "Test Results are " . $myj->test("Hello World") . "";
$myj->foo = "A String Value";
echo "You have set foo to " . $myj->foo . "
n";
echo "My java method reports: " . $myj->whatisfoo() . "
n";
?>
如果你得到这样的警告信息：java.lang.ClassNotFoundException error ，这就意味着你的phptest.class文件不在你的java.class.path目录下。
注意的是JAVA是一种强制类型语言，而PHP不是，这样我们在将它们融合时，容易导致错误，于是我们在向JAVA传递变量时，要正确指定好变量的类型。如：$myj->foo = (string) 12345678; or $myj->foo = "12345678";
这只是一个很小的例子，你可以创建你自己的JAVA类，并使用PHP很好的调用它！
PHP 世界中缓冲是一个热门的话题，因为 PHP 产生的动态页面，每次用户请求都需要重新计算，不论请求的结果是否一样，同时，PHP 每次都会编译一次脚本。这样的超负荷运转对一个流量很高的网站来说肯定难以忍受。幸运的是， Web 的结果可以缓冲，而不需要重新运行和编译脚本，商品化的产品像 ZendCache 或者开源的 Alternate PHP Cache都提供了把 PHP 脚本编译为字节代码并缓冲的办法。
PEAR 的缓冲包提供了缓冲动态内容，数据库查询和 PHP 函数调用的框架。
就像 Perl 有 CPAN, TeX 有 CTAN，PHP 也有自己的中心资源库，存放类，库和模块。这个库称为 PEAR（PHP Extension and Add-On Repository）。
本文假设你已经安装了 PEAR 环境，如果没有的话，可以去 PHP 网站下载。
PEAR 的缓冲包包含一个总体的缓冲类和几个特别的子类。缓冲类使用容器类来存贮和管理缓冲数据。
下面是 PEAR 缓冲当前所包含的容器，以及各自的参数：
file -- file 容器在文件系统存储了缓冲的数据，是最快的容器。
cache_dir -- 这是容器存储文件的目录。
filename_prefix -- 缓冲文件的前缀，例如："cache_"。
shm -- shm 容器把缓冲数据放入共享内存，基准测试显示，目前的实现下，这个容器的速度要比文件容器慢。
shm_key -- 共享内存使用的键值。
shm_perm -- 使用共享内存数据段的权限。
shm_size -- 分配共享内存的大小。
sem_key -- 信号灯的键值。
sem_perm -- 信号灯的权限。
db -- PEAR 的数据库抽象层。
dsn -- 数据库连接的 DSN 。可以参考 PEAR 的 DB 文档。
cache_table -- 表的名字。
phplib -- phplib 容器使用数据库抽象层存储缓冲。
db_class
db_file
db_path
local_file
local_path
ext/dbx -- PHP 的数据库抽象层扩展，如果像把缓冲存入数据库，可以采用这个容器。
module
host
db
username
password
cache_table
persistent
使用 PEAR Cache 所得到的性能提升取决于你所选择的缓冲容器，例如，把数据库的结果再次存入数据库缓冲中就显得毫无意义。
PEAR Cache 的函数缓冲模块能把任何函数或者方法的结果缓冲，不论是 PHP 的内置函数还是用户自定义函数，他缺省采用文件容器，把缓冲数据放入到一个叫做
function_cache 的目录。
Cache_Function 类的构造器可以有三个可选的参数：
在PHP编程中, 我们经常会遇到一些直接产生输出的函数, 如passthru(),readfile(), var_dump() 等. 但有时我们想把这些函数的输出导入到文件中,或者先经过处理再输出, 或者把这些函数的输出作为字符串来处理.
这时我们就要用到 Output Buffer(输出缓冲) 函数了.
处理输出缓冲的函数主要有这么几个:
ob_start() 开始输出缓冲, 这时PHP停止输出, 在这以后的输出都被转到一个内部的缓冲里.
ob_get_contents() 这个函数返回内部缓冲的内容. 这就等于把这些输出都变成了字符串.
ob_get_ length() 返回内部缓冲的长度.
ob_end_flush() 结束输出缓冲, 并输出缓冲里的内容. 在这以后的输出都是正常输出.
ob_end_clean() 结束输出缓冲, 并扔掉缓冲里的内容.
举个例子, var_dump()函数输出一个变量的结构和内容, 这在调试的时候很有用.
但如果变量的内容里有 < , > 等HTML的特殊字符, 输出到网页里就看不见了. 怎么办呢?
用输出缓冲函数能很容易的解决这个问题.
ob_start();
var_dump($var);
$out = ob_get_contents();
ob_end_clean();
这时var_dump()的输出已经存在 $out 里了. 你可以现在就输出:
echo '<pre>' . htmlspecialchars($out) . '</pre>' ;
或者等到将来, 再或者把这个字符串送到模板(Template)里再输出.
PHP中的面向对象功能支持 C++ 式的 :: 运算符号！！！
//孤狼：这个::在PEAR中可是频频出现，第一次见的时候搞的我莫名其妙 :)
这个特色文档没有任何说明，但是却有着很好的使用价值。
举一个简单的例子：
比如你以前有很多收集的函数库，你想转向 OOP 方式编程，但是还不能做到完全的封装。
这个特色提供你一个OOP风格的实现。
你定义一个 Util 类：
class Util {
//将所有的函数剪辑到这里
//这个类可以没有任何成员函数
}
然后在你原先使用函数的地方，比如 someFunction()， 修改成：
Util::someFunction(). 这对你需要封装，但是不需要任何成员函数非常有用。
上一篇: 如何用PHP实现网页动态跳转
相关文章
- php 获取用户IP与IE信息程序 function onlineip() { global $_SERVER; if(getenv('HTTP_CLIENT_IP')) { $onlineip = getenv('HTTP_CLIENT_IP');...2016-11-25
- JSON(JavaScript Object Notation) 是一种轻量级的数据交换格式。JSON采用完全独立于语言的文本格式，这些特性使JSON成为理想的数据交换语言。易于人阅读和编写，同时也易于机器解析和生成...2021-11-05
- php简单用户登陆程序代码 这些教程很对初学者来讲是很有用的哦，这款就下面这一点点代码了哦。 <center> <p> </p> <p> </p> <form name="form1...2016-11-25
- 当来访者浏览器语言是中文就进入中文版面，国外的用户默认浏览器不是中文的就跳转英文页面。 <?php $lan = substr( $HTTP_ACCEPT_LANGUAGE,0,5); if ($lan == "zh-cn") print("<meta http-equiv='refresh' c...2015-11-08
- 【问题描述】：同一用户在同一时间多次登录如果不能检测出来，是危险的。因为，你无法知道是否有其他用户在登录你的账户。如何禁止同一用户多次登录呢？ 【解决方案】 (1) 每次登录，身份认证成功后，重新产生一个session_id。 s...2015-11-24
- 一个用Javascript检测用户输入密码强度的效果代码，以下代码主要是从以下四个方面检测用户输入的密码的强度的，有兴趣的朋友可以自己添加或修改成自己想要的形式！ 1. 如果输入的密码位数少于5位，那么就判定为弱。 2. 如果...2015-10-23
- 这是注册程序是一款当用户输入完用户名是，就会自动去数据库中查询用户要注册的用户名是否己经被注册了，如果是返回提示否则提示可以注册。 conn.php文件 代...2016-11-25
- 核心代码： 复制代码 代码如下:<!--?php$html2RTFCom = new COM("HTML2RTF.Converter");$html2RTFCom--->PreserveImages = true;$html2RTFCom->PageNumbers = 1;$html2RTFCom->PageNumbersAlignH = 1;$html2RTFCom->Pa...2014-06-07
- 这篇文章主要为大家详细介绍了C#格式化数字字符串的方法，具有一定的参考价值，感兴趣的小伙伴们可以参考一下...2020-06-25
- 这篇文章主要介绍了Pycharm 设置默认解释器路径和编码格式的操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-02-05
- 这篇文章主要介绍了PHP如何通过date() 函数格式化显示时间,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下...2020-11-13
- 这篇文章主要介绍了prettier自动格式化去换行的实现代码，本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值,需要的朋友可以参考下...2020-08-26
- 这篇文章主要给大家介绍了关于微信小程序用户授权最佳实践的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2021-05-08
- 这篇文章主要介绍了nestjs返回给前端数据格式的封装实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2021-02-22
- cookie 的用途之一是存储用户在特定网站上的密码和 id。另外，也用于存储起始页的首选项。在提供个人化查看的网站上，将要求阁下的网络浏览器利用阁下计算机硬驱上的少量...2016-11-25
- 这里分享一个常用的价格格式化的一个方法，在电商的价格处理中非常的实用，具体实现代码大家参考下本文...2017-05-27
微信小程序 时间格式化（util.formatTime(new Date)）详解
这篇文章主要介绍了微信小程序 时间格式化（util.formatTime(new Date)）详解的相关资料,这里附实例，一目了然很容易解决，需要的朋友可以参考下...2016-11-22- 知识归纳因为MySQL是使用User和Host两个字段来确定用户身份的，这样就带来一个问题，就是一个客户端到底属于哪个host。 如果一个客户端同时匹配几个Host，对用户的确定将按照下面的优先级来排 基本观点越精确的匹配越优先...2015-11-08
- 这篇文章主要介绍了sqlserver添加sa用户和密码的实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2021-05-07
- 这篇文章主要介绍了VSCode格式化JS自动添加或去掉分号的问题，本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下...2021-10-12