PHP利用strpos函数屏蔽关键字程序

更新时间：2016年11月25日 15:24 点击：2038

在我们做留言板时经常会需要去屏蔽关键字一些关键字，下面我来介绍利用txt保存要屏蔽关键字，然后再根据用户提交的数据进行过滤。

先看strpos函数

strpos() 函数返回字符串在另一个字符串中第一次出现的位置。

如果没有找到该字符串，则返回 false。

语法

strpos(string,find,start)参数描述
string 必需。规定被搜索的字符串。
find 必需。规定要查找的字符。
start 可选。规定开始搜索的位置。

提示和注释

注释：该函数对大小写敏感。如需进行对大小写不敏感的搜索，请使用 stripos() 函数。

例子

代码如下	复制代码
<?php echo strpos("Hello world!","wo"); ?>

一、把关键字专门写在一个文本文件里，每行一个，数量不限，有多少写多少。

二、PHP读取关键字文本，存入一个数组

三、遍历关键字数组，挨个用strpos函数去看看内容有没有关键字，如果有，返回true,没有则返回false

PHP代码如下

代码如下

复制代码

/**
* PHP中用strpos函数过滤关键字
* 琼台博客
*/
// 关键字过滤函数
function keyWordCheck($content){
        // 去除空白
    $content = trim($content);
        // 读取关键字文本
    $content = @file_get_contents('keyWords.txt');
        // 转换成数组
    $arr = explode("n", $content);
        // 遍历检测
    for($i=0,$k=count($arr);$i<$k;$i++){
                // 如果此数组元素为空则跳过此次循环
        if($arr[$i]==''){
              continue;
        }

                // 如果检测到关键字，则返回匹配的关键字,并终止运行
        if(@strpos($str,$arr[$i])!==false){
            //$i=$k;
            return $arr[$i];
        }
    }
        // 如果没有检测到关键字则返回false
    return false;
}

$content = '这里是要发布的文本内容。。。';

// 过滤关键字
$keyWord = keyWordCheck($content);

// 判断是否存在关键字
if($keyWord){
        echo '你发布的内容存在关键字'.$keyWord;
}else{
        echo '恭喜！通过关键字检测';
        // 往下可以进行写库操作完成发布动作。
}

写完代码后，故意在变量$content中写了一个关键字内容，然后运行发现没有检测到关键字，执行结果是通过，换成其它禁止的关键字都通过。
郁闷，开始判断是不是哪里出问题
编码问题？立即把keyWord.txt文件再次用记事本打开，然后另存为UTF-8格式。结果还是不行。
没有获取到keyWord.txt文本内容？立即 print_r() 发现正常读取并按行转成了数组。
于是，我把关键字数组直接声明写成死的在程序中

代码如下

复制代码

<?php
/**
* PHP中用strpos函数过滤关键字
* 琼台博客
*/
// 关键字过滤函数
function keyWordCheck($content){
        // 去除空白
    $content = trim($content);
        // 读取关键字文本
    //$content = @file_get_contents('keyWords.txt');
        // 转换成数组
    //$arr = explode("n", $content);
        // 直接在程序中声明关键字数组
        $arr = array('关键字1','关键字2','关键字3','关键字4'...);
        // 遍历检测
    for($i=0,$k=count($arr);$i<$k;$i++){
                // 如果此数组元素为空则跳过此次循环
        if($arr[$i]==''){
              continue;
        }

                // 如果检测到关键字，则返回匹配的关键字,并终止运行
        if(@strpos($str,$arr[$i])!==false){
            //$i=$k;
            return $arr[$i];
        }
    }
        // 如果没有检测到关键字则返回false
    return false;
}

$content = '这里是要发布的内容，含有关键字2';
// 过滤关键字
$keyWord = keyWordCheck($content);

// 判断是否存在关键字
if($keyWord){
        echo '你发布的内容存在关键字【'.$keyWord.'】';
}else{
        echo '恭喜！通过关键字检测';
        // 往下可以进行写库操作完成发布动作。
}
// 程序运行结果：你发布的内容存在关键字【关键字2】
// 程序正常

如果在PHP中声明关键字数组，就能起到作用，如果读取文本文件就无效，见鬼了？
正在百思不得其解之时，想到了会不会是从文本文件中读取的内容有空格或者换行符没有过滤所导致？于是在遍历匹配那里加了一个trim函数

加了trim()函数过滤空白后运行通过测试，原来瞎折腾了半天问题就在这里。

代码如下

复制代码

/**
* PHP中用strpos函数过滤关键字
* 琼台博客
*/
// 关键字过滤函数
function keyWordCheck($content){
        // 去除空白
    $content = trim($content);
        // 读取关键字文本
    $content = @file_get_contents('keyWords.txt');
        // 转换成数组
    $arr = explode("n", $content);
        // 遍历检测
    for($i=0,$k=count($arr);$i<$k;$i++){
                // 如果此数组元素为空则跳过此次循环
        if($arr[$i]==''){
              continue;
        }

                // 如果检测到关键字，则返回匹配的关键字,并终止运行
                // 这一次加了 trim()函数
        if(@strpos($str,trim($arr[$i]))!==false){
            //$i=$k;
            return $arr[$i];
        }
    }
        // 如果没有检测到关键字则返回false
    return false;
}

$content = '这里是要发布的文本内容。。。';

// 过滤关键字
$keyWord = keyWordCheck($content);

// 判断是否存在关键字
if($keyWord){
        echo '你发布的内容存在关键字'.$keyWord;
}else{
        echo '恭喜！通过关键字检测';
        // 往下可以进行写库操作完成发布动作。
}

在程序开发中sql注入是一个大家常常会要考虑到的问题，下面我来解析一下常见的sql防注入代码，有需要的朋友可参考参考。

1、php提交数据过滤的基本原则

1）提交变量进数据库时，我们必须使用addslashes()进行过滤，像我们的注入问题，一个addslashes()也就搞定了。其实在涉及到变量取值时，intval()函数对字符串的过滤也是个不错的选择。

2）在php.ini中开启magic_quotes_gpc和magic_quotes_runtime。magic_quotes_gpc可以把get,post,cookie里的引号变为斜杠。magic_quotes_runtime对于进出数据库的数据可以起到格式话的作用。其实，早在以前注入很疯狂时，这个参数就很流行了。

代码如下

复制代码

<?
if ( isset($_POST["f_login"] ) )
{
// 连接数据库...
// ...代码略...

// 检查用户是否存在
$t_strUname = $_POST["f_uname"];
$t_strPwd = $_POST["f_pwd"];
$t_strSQL = "SELECT * FROM tbl_users WHERE username='$t_strUname' AND password = '$t_strPwd' LIMIT 0,1";

if ( $t_hRes = mysql_query($t_strSQL) )
{
// 成功查询之后的处理. 略...
}
}
?>

<html><head><title>sample test</title></head>
<body>
<form method=post action="">
Username: <input type="text" name="f_uname" size=30><br>
Password: <input type=text name="f_pwd" size=30><br>

3）在使用系统函数时，必须使用escapeshellarg(),escapeshellcmd()参数去过滤，这样你也就可以放心的使用系统函数。

4）对于跨站，strip_tags(),htmlspecialchars()两个参数都不错，对于用户提交的的带有html和php的标记都将进行转换。比如尖括号"<"就将转化为 "<"这样无害的字符。

代码如下	复制代码
$new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES); strip_tags($text,);

5）对于相关函数的过滤，就像先前的include(),unlink,fopen()等等，只要你把你所要执行操作的变量指定好或者对相关字符过滤严密，我想这样也就无懈可击了。

2、PHP简单的数据过滤

1）入库: trim($str),addslashes($str)
2）出库: stripslashes($str)
3）显示: htmlspecialchars(nl2br($str))

一、注入式攻击的类型

可能存在许多不同类型的攻击动机，但是乍看上去，似乎存在更多的类型。这是非常真实的-如果恶意用户发现了一个能够执行多个查询的办法的话。本文后面，我们会对此作详细讨论。
如
果你的脚本正在执行一个SELECT指令，那么，攻击者可以强迫显示一个表格中的每一行记录-通过把一个例如"1=1"这样的条件注入到WHERE子句中，如下所示(其中，注入部分以粗体显示)：

代码如下	复制代码
SELECT * FROM wines WHERE variety = 'lagrein' OR 1=1;'

正如我们在前面所讨论的，这本身可能是很有用的信息，因为它揭示了该表格的一般结构(这是一条普通的记录所不能实现的)，以及潜在地显示包含机密信息的记录。
一条更新指令潜在地具有更直接的威胁。通过把其它属性放到SET子句中，一名攻击者可以修改当前被更新的记录中的任何字段，例如下面的例子（其中，注入部分以粗体显示）：

代码如下	复制代码
UPDATE wines SET type='red'，'vintage'='9999' WHERE variety = 'lagrein'

通过把一个例如1=1这样的恒真条件添加到一条更新指令的WHERE子句中，这种修改范围可以扩展到每一条记录，例如下面的例子（其中，注入部分以粗体显示）：

代码如下	复制代码
UPDATE wines SET type='red'，'vintage'='9999 WHERE variety = 'lagrein' OR 1=1;'

最危险的指令可能是DELETE-这是不难想像的。其注入技术与我们已经看到的相同-通过修改WHERE子句来扩展受影响的记录的范围，例如下面的例子（其中，注入部分以粗体显示）：

代码如下	复制代码
DELETE FROM wines WHERE variety = 'lagrein' OR 1=1;'

二、多个查询注入
多个查询注入将会加剧一个攻击者可能引起的潜在的损坏-通过允许多条破坏性指令包括在一个查询中。在使用MySQL数据库时，攻击者通过把一个出乎意料之外的终止符插入到查询中即可很容易实现这一点-此时一个注入的引号(单引号或双引号)标记期望变量的结尾；然后使用一个分号终止该指令。现在，一个另外的攻击指令可能被添加到现在终止的原始指令的结尾。最终的破坏性查询可能看起来如下所示：
代码如下:

代码如下	复制代码
SELECT * FROM wines WHERE variety = 'lagrein'; GRANT ALL ON . TO 'BadGuy@%' IDENTIFIED BY 'gotcha';'

这个注入将创建一个新的用户BadGuy并赋予其网络特权（在所有的表格上具有所有的特权）；其中，还有一个"不祥"的口令被加入到这个简单的SELECT语句中。如果你遵循我们在以前文章中的建议－严格限制该过程用户的特权，那么，这应该无法工作，因为web服务器守护程序不再拥有你撤回的GRANT特权。但是从理论上讲，这样的一个攻击可能给予BadGuy自由权力来实现他对你的数据库的任何操作。

下面分享一个自己写的

代码如下

复制代码

总结一下：

* addslashes() 是强行加；
* mysql_real_escape_string() 会判断字符集，但是对PHP版本有要求；
* mysql_escape_string不考虑连接的当前字符集。

dz中的防止sql注入就是用addslashes这个函数，同时在dthmlspecialchars这个函数中有进行一些替换$string = preg_replace(/&((#(d{3,5}|x[a-fA-F0-9]{4}));)/, &1,这个替换解决了注入的问题，同时也解决了中文乱码的一些问题

我们在做留言系统时经常会想把一些不出现的敏感词过滤掉了，下面是一个简单的实现，其实我们可以利用数据库来保存这些信息，然后查出来再作判断即可。

代码如下

复制代码

/用正则表达式（把脏话想替换成什么就替换成什么）
   $str = "aa=!!|bb=@@|cc=##|dd=$$|ee=%%|ff=^^|gg=&&";
    $arr = explode('|',$str);
    foreach($arr as $key=>$val)
    {
        $array[] = explode('=',$val);
    }
    print_r($array);

    for($i=0;$i<count($array);$i++)
    {
        $a1[] = "/".$array[$i][0]."/";
        $a2[] = $array[$i][1];
    }

    unset($arr);
    $message= '呵呵就是一个反社会的时代 WOCAO madE';
    echo $message.'<br>';
    print preg_replace($a1,$a2,$message); //支持参数个数组但是参数区分大小写
<strong></strong> print eregi_replace($arr1,array('!!','@@','##','$$','%%','^^','&&'),$message); //不支持数组但是参数不区分大小写

下面一款防止php页面给sql注入的一个程序代码，有需要的朋友可参考。

以下代码实现过滤php的$_GET 和$_POST参数

代码如下

复制代码

/**
* 安全防范
*/
function Add_S($array)
{
foreach($array as $key=>$value)
{
if(!is_array($value))
{
$value = get_magic_quotes_gpc()?$value:addslashes($value);
$array[$key]=filterHtml($value);
}
Else
{
Add_S($array[$key]);
}
}
return $array;
}
function glstr($var) {

if (is_array($var)) {
return Add_S($var);
}
elseif(strlen($var)){
$var = get_magic_quotes_gpc()?$var:addslashes($var);

$var = filterHtml($var);
}
return $var;
}
function filterHtml($html)
{
$farr = array(
"/<!DOCTYPE([^>]*?)>/eis",
"/<(/?)(html|body|head|link|meta|base|input)([^>]*?)>/eis",
"/<(script|i?frame|style|title|form)(.*?)</\1>/eis",
"/(<[^>]*?s+)on[a-z]+s*?=("|')([^\2]*)\2([^>]*?>)/isU",//过滤javascript的on事件
"/s+/",//过滤多余的空白
);
$tarr = array(
"",
"",
"",
"\1\4",
" ",
);
$html = preg_replace( $farr,$tarr,$html);
return $html;
}
if (sizeof($_GET)) {
foreach($_GET as $key => $value) {
$_GET[$key] = glstr($value); //
}

}
if (sizeof($_POST)) {
foreach($_POST as $key => $value) {
$_POST[$key] = glstr($value); //
}
}

在php5的环境中我们的$_SERVER变量将不再受magic_quotes_gpc的保护，至于程序该如何加强自己的安全性,下面我们总结了怎么保护php中的cookie,get,post,files数据哦，有需要的朋友可参考一下。

<?php

代码如下	复制代码
$magic_quotes_gpc = get_magic_quotes_gpc(); @extract(daddslashes($_COOKIE)); @extract(daddslashes($_POST)); @extract(daddslashes($_GET)); if(!$magic_quotes_gpc) { $_FILES = daddslashes($_FILES); }

daddslashes函数

代码如下	复制代码
//转译字符函数 function daddslashes($string) { if(!is_array($string)) return addslashes($string); foreach($string as $key => $val) $string[$key] = daddslashes($val); return $string; }

[!--infotagslink--]

上一篇: php eval()函数使用介绍

下一篇: PHP 防注入安全实现程序代码

php正确禁用eval函数与误区介绍
eval函数在php中是一个函数并不是系统组件函数，我们在php.ini中的disable_functions是无法禁止它的，因这他不是一个php_function哦。 eval()针对php安全来说具有很...2016-11-25
php中eval()函数操作数组的方法
在php中eval是一个函数并且不能直接禁用了，但eval函数又相当的危险了经常会出现一些问题了，今天我们就一起来看看eval函数对数组的操作例子， <?php $data="array...2016-11-25
Python astype(np.float)函数使用方法解析
这篇文章主要介绍了Python astype(np.float)函数使用方法解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下...2020-06-08
Python中的imread()函数用法说明
这篇文章主要介绍了Python中的imread()函数用法说明，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-03-16
C# 中如何取绝对值函数
本文主要介绍了C# 中取绝对值的函数。具有很好的参考价值。下面跟着小编一起来看下吧...2020-06-25
C#学习笔记- 随机函数Random()的用法详解
下面小编就为大家带来一篇C#学习笔记- 随机函数Random()的用法详解。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧...2020-06-25
金额阿拉伯数字转换为中文的自定义函数
CREATE FUNCTION ChangeBigSmall (@ChangeMoney money) RETURNS VarChar(100) AS BEGIN Declare @String1 char(20) Declare @String2 char...2016-11-25
C# 中的var关键字详细介绍
这篇文章主要介绍了C# 中的var关键字详细介绍的相关资料,需要的朋友可以参考下...2020-06-25
Android开发中findViewById()函数用法与简化
findViewById方法在android开发中是获取页面控件的值了，有没有发现我们一个页面控件多了会反复研究写findViewById呢，下面我们一起来看它的简化方法。 Android中Fin...2016-09-20
C++中 Sort函数详细解析
这篇文章主要介绍了C++中Sort函数详细解析，sort函数是algorithm库下的一个函数，sort函数是不稳定的，即大小相同的元素在排序后相对顺序可能发生改变...2022-08-18
PHP用strstr()函数阻止垃圾评论(通过判断a标记)
strstr() 函数搜索一个字符串在另一个字符串中的第一次出现。该函数返回字符串的其余部分（从匹配点）。如果未找到所搜索的字符串，则返回 false。语法：strstr(string,search)参数string，必需。规定被搜索的字符串。参数sea...2013-10-04
PHP函数分享之curl方式取得数据、模拟登陆、POST数据
废话不多说直接上代码复制代码代码如下:/********************** curl 系列 ***********************///直接通过curl方式取得数据(包含POST、HEADER等)/* * $url: 如果非数组，则为http;如是数组，则为https * $header:...2014-06-07
php中的foreach函数的2种用法
Foreach 函数（PHP4/PHP5）foreach 语法结构提供了遍历数组的简单方式。foreach 仅能够应用于数组和对象，如果尝试应用于其他数据类型的变量，或者未初始化的变量将发出错误信息。...2013-09-28
C语言中free函数的使用详解
free函数是释放之前某一次malloc函数申请的空间，而且只是释放空间，并不改变指针的值。下面我们就来详细探讨下...2020-04-25
PHP函数strip_tags的一个bug浅析
PHP 函数 strip_tags 提供了从字符串中去除 HTML 和 PHP 标记的功能，该函数尝试返回给定的字符串 str 去除空字符、HTML 和 PHP 标记后的结果。由于 strip_tags() 无法实际验证 HTML，不完整或者破损标签将导致更多的数...2014-05-31
SQL Server中row_number函数的常见用法示例详解
这篇文章主要给大家介绍了关于SQL Server中row_number函数的常见用法，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2020-12-08
PHP加密解密函数详解
分享一个PHP加密解密的函数，此函数实现了对部分变量值的加密的功能。加密代码如下： /* *功能：对字符串进行加密处理 *参数一：需要加密的内容 *参数二：密钥 */ function passport_encrypt($str,$key){ //加密函数 srand(...2015-10-30
js屏蔽F12审查元素，禁止修改页面代码等实现代码
有时候我们需要屏蔽客户端的F12，以防菜鸟也可以随意修改我们的代码，也处于源码的保护等操作，这里就为大家分享一下常见的代码...2020-10-03
C#中的yield关键字的使用方法介绍
yield这个关键字是和迭代器挂钩的，而且是与return一起以yield return的形式合用的，用来返回迭代器中的条目。...2020-06-25
php的mail函数发送UTF-8编码中文邮件时标题乱码的解决办法
最近遇到一个问题，就是在使用php的mail函数发送utf-8编码的中文邮件时标题出现乱码现象，而邮件正文却是正确的。最初以为是页面编码的问题，发现页面编码utf-8没有问题啊，找了半天原因，最后找到了问题所在。 1.使用 PEAR 的...2015-10-21

PHP利用strpos函数屏蔽关键字程序

相关文章

阁下可能感兴趣的内容

推荐阅读