PHP防止XSS攻击之过滤、验证和转义之转义的例子

本文章来为各位介绍一篇关于PHP防止XSS攻击之过滤、验证和转义之转义的例子，希望这篇教程能够帮助到各位朋友。

PHP 转义实现

把输出渲染成网页或API响应时，一定要转义输出，这也是一种防护措施，能避免渲染恶意代码，造成XSS攻击，还能防止应用的用户无意中执行恶意代码。

我们可以使用前面提到的htmlentities函数转移输出，该函数的第二个参数一定要使用ENT_QUOTES，让这个函数转义单引号和双引号，而且，还要在第三个参数中指定合适的字符编码（通常是UTF-8），下面的例子演示了如何在渲染前转义HTML输出：

<?php
$output = '<p><script>alert(“欢迎来到Laravel学院！")</script></p>';
echo htmlentities($output, ENT_QUOTES, ‘UTF-8');
如果不转义直接输出，会弹出提示框：

alert

转义之后输出变成：

<p><script>alert("欢迎访问Laravel学院!");</script></p>
现代PHP支持许多模板引擎，这些模板引擎在底层已经为了做好了转义处理，比如现在流行的twig/twig和smarty/smarty都会自动转义输出。这种默认处理方式很赞，为PHP Web应用提供了有力的安全保障。

Blade 模板引擎避免XSS攻击原理
Laravel使用的模板引擎是Blade，关于Blade的使用可以参考其官方文档，这里我们简单探讨下Laravel底层如何对输出进行转义处理。

一般我们在Laravel中返回视图内容会这么做：

return view(’test’, [‘data’=>$data]);
这是一个很简单的例子，意味着我们会在resources/views目录下找到test.blade.php视图文件，然后将$data变量传入其中，并将最终渲染结果作为响应的内容返回给用户。那么这一过程经历了哪些底层源码的处理，如果$data变量中包含脚本代码（如JavaScript脚本），又该怎么去处理呢？接下来我们让来一窥究竟。

首先我们从辅助函数view入手，当然这里我们也可以使用View:make，但是简单起见，我们一般用view函数，该函数定义在Illuminate\Foundation\helpers.php文件中：

function view($view = null, $data = [], $mergeData = [])
{
    $factory = app(ViewFactory::class);
    if (func_num_args() === 0) {
        return $factory;
    }

    return $factory->make($view, $data, $mergeData);
}
该函数中的逻辑是从容器中取出视图工厂接口ViewFactory对应的实例$factory（该绑定关系在Illuminate\View\ViewServiceProvider的register方法中注册，此外这里还注册了模板引擎解析器EngineResolver，包括PhpEngine和载入BladeCompiler的CompilerEngine，以及视图文件查找器FileViewFinder，一句话，这里注册了视图解析所需的所有服务），如果传入了参数，则调用$factory上的make方法：

public function make($view, $data = [], $mergeData = [])
{
    if (isset($this->aliases[$view])) {
        $view = $this->aliases[$view];
    }

    $view = $this->normalizeName($view);

    $path = $this->finder->find($view);

    $data = array_merge($mergeData, $this->parseData($data));

    $this->callCreator($view = new View($this, $this->getEngineFromPath($path), $view, $path, $data));

    return $view;
}
这个方法位于Illuminate\View\Factory，这里所做的事情是获取视图文件的完整路径，合并传入变量，$this->getEngineFromPath会通过视图文件后缀获取相应的模板引擎，比如我们使用.blade.php结尾的视图文件则获得到的是CompilerEngine（即Blade模板引擎），否则将获取到PhpEngine，然后我们根据相应参数实例化View（Illuminate\View\View）对象并返回。需要注意的是View类中重写了__toString方法：

public function __toString()
{
    return $this->render();
}
所以当我们打印$view实例的时候，实际上会调用View类的render方法，所以下一步我们理所应当研究render方法做了些什么：

public function render(callable $callback = null)
{
    try {
        $contents = $this->renderContents();
        $response = isset($callback) ? call_user_func($callback, $this, $contents) : null;

        // Once we have the contents of the view, we will flush the sections if we are
        // done rendering all views so that there is nothing left hanging over when
        // another view gets rendered in the future by the application developer.
        $this->factory->flushSectionsIfDoneRendering();

        return ! is_null($response) ? $response : $contents;
    } catch (Exception $e) {
        $this->factory->flushSections();

        throw $e;
    } catch (Throwable $e) {
        $this->factory->flushSections();
 
        throw $e;
    }
}
这里重点是$this->renderContents()方法，我们继续深入研究View类中的renderContents方法：

protected function renderContents()
{
    // We will keep track of the amount of views being rendered so we can flush
    // the section after the complete rendering operation is done. This will
    // clear out the sections for any separate views that may be rendered.
    $this->factory->incrementRender();
    $this->factory->callComposer($this);

    $contents = $this->getContents();

    // Once we've finished rendering the view, we'll decrement the render count
    // so that each sections get flushed out next time a view is created and
    // no old sections are staying around in the memory of an environment.
    $this->factory->decrementRender();

    return $contents;
}
我们重点关注$this->getContents()这里，进入getContents方法：

protected function getContents()
{
    return $this->engine->get($this->path, $this->gatherData());
}
我们在前面已经提到，这里的$this->engine对应CompilerEngine（Illuminate\View\Engines\CompilerEngine），所以我们进入CompilerEngine的get方法：

public function get($path, array $data = [])
{
    $this->lastCompiled[] = $path;
    // If this given view has expired, which means it has simply been edited since
    // it was last compiled, we will re-compile the views so we can evaluate a
    // fresh copy of the view. We'll pass the compiler the path of the view.
    if ($this->compiler->isExpired($path)) {
        $this->compiler->compile($path);
    }

    $compiled = $this->compiler->getCompiledPath($path);

    // Once we have the path to the compiled file, we will evaluate the paths with
    // typical PHP just like any other templates. We also keep a stack of views
    // which have been rendered for right exception messages to be generated.
    $results = $this->evaluatePath($compiled, $data);

    array_pop($this->lastCompiled);

    return $results;
}
同样我们在之前提到，CompilerEngine使用的compiler是BladeCompiler，所以$this->compiler也就是Blade编译器，我们先看$this->compiler->compile($path);这一行（首次运行或者编译好的视图模板已过期会进这里），进入BladeCompiler的compile方法：

public function compile($path = null)
{
    if ($path) {
        $this->setPath($path);
    }
    if (! is_null($this->cachePath)) {
        $contents = $this->compileString($this->files->get($this->getPath()));

        $this->files->put($this->getCompiledPath($this->getPath()), $contents);
    }
}
这里我们做的事情是先编译视图文件内容，然后将编译好的内容存放到视图编译路径（storage\framework\views）下对应的文件（一次编译，多次运行，以提高性能），这里我们重点关注的是$this->compileString方法，该方法中使用了token_get_all函数将视图文件代码分割成多个片段，如果片段是数组的话则循环调用$this->parseToken方法：

protected function parseToken($token)
{
    list($id, $content) = $token;
    if ($id == T_INLINE_HTML) {
        foreach ($this->compilers as $type) {
            $content = $this->{"compile{$type}"}($content);
        }
    }

    return $content;
}
来到这里，我们已经很接近真相了，针对HTML代码（含Blade指令代码），循环调用compileExtensions、compileStatements、compileComments和compileEchos方法，我们重点关注输出方法compileEchos，Blade引擎默认提供了compileRawEchos、compileEscapedEchos和compileRegularEchos三种输出方法，对应的指令分别是{!! !!}、{{{ }}}和{{ }}，顾名思义，compileRawEchos对应的是原生输出：

protected function compileRawEchos($value)
{
    $pattern = sprintf('/(@)?%s\s*(.+?)\s*%s(\r?\n)?/s', $this->rawTags[0], $this->rawTags[1]);
    $callback = function ($matches) {
        $whitespace = empty($matches[3]) ? '' : $matches[3].$matches[3];

        return $matches[1] ? substr($matches[0], 1) : '<?php echo '.$this->compileEchoDefaults($matches[2]).'; ?>'.$whitespace;
    };

    return preg_replace_callback($pattern, $callback, $value);
}
即Blade视图中以{!! !!}包裹的变量会原生输出HTML，如果要显示图片、链接，推荐这种方式。

{{{}}}对应的CompileEscapedEchos，这个在Laravel 4.2及以前版本中用于转义，现在已经替换成了{{}}，即调用compileRegularEchos方法：

protected function compileRegularEchos($value)
{
    $pattern = sprintf('/(@)?%s\s*(.+?)\s*%s(\r?\n)?/s', $this->contentTags[0], $this->contentTags[1]);
    $callback = function ($matches) {
        $whitespace = empty($matches[3]) ? '' : $matches[3].$matches[3];

        $wrapped = sprintf($this->echoFormat, $this->compileEchoDefaults($matches[2]));

        return $matches[1] ? substr($matches[0], 1) : '<?php echo '.$wrapped.'; ?>'.$whitespace;
    };

    return preg_replace_callback($pattern, $callback, $value);
}
其中$this->echoFormat对应e(%s)，无独有偶，compileEscapedEchos中也用到这个方法：

protected function compileEscapedEchos($value)
{
    $pattern = sprintf('/(@)?%s\s*(.+?)\s*%s(\r?\n)?/s', $this->escapedTags[0], $this->escapedTags[1]);
    $callback = function ($matches) {
        $whitespace = empty($matches[3]) ? '' : $matches[3].$matches[3];

        return $matches[1] ? $matches[0] : '<?php echo e('.$this->compileEchoDefaults($matches[2]).'); ?>'.$whitespace;
    };

    return preg_replace_callback($pattern, $callback, $value);

}
辅助函数e()定义在Illuminate\Support\helpers.php中：

function e($value)
{
    if ($value instanceof Htmlable) {
        return $value->toHtml();
    }
    return htmlentities($value, ENT_QUOTES, 'UTF-8', false);
}
其作用就是对输入的值进行转义。

经过这样的转义，视图中的{{ $data }}或被编译成<?php echo $data?>，最终如何将$data传入视图输出，我们再回到CompilerEngine的get方法，看这一段：

$results = $this->evaluatePath($compiled, $data);
evaluatePath中传入了编译后的视图文件路径和传入的变量$data，该方法定义如下：

protected function evaluatePath($__path, $__data)
{
   $obLevel = ob_get_level();ob_start();

    extract($__data, EXTR_SKIP);

    // We'll evaluate the contents of the view inside a try/catch block so we can
    // flush out any stray output that might get out before an error occurs or
    // an exception is thrown. This prevents any partial views from leaking.
    try {
        include $__path;
    } catch (Exception $e) {
        $this->handleViewException($e, $obLevel);
    } catch (Throwable $e) {
        $this->handleViewException(new FatalThrowableError($e), $obLevel);
    }

    return ltrim(ob_get_clean());
}
这里面调用了PHP系统函数extract将传入变量从数组中导入当前符号表（通过include $__path引入），其作用也就是将编译后视图文件中的变量悉数替换成传入的变量值（通过键名映射）。

好了，这就是Blade视图模板从渲染到输出的基本过程，可以看到我们通过{{}}来转义输出，从而达到避免XSS攻击的目的。

本文章来为各位介绍一篇关于composer 将远程的包更改为本地开发模式，希望文章能够帮助到各位同学。

有时候我们会遇到线上的 composer 开发包功能不是很完善，但是很多功能我们还能够用到，我们只能自己去修改一部分代码让这个包能够去运行，同时不使用 composer 进行更新，否则代码会再更新的时候再次被覆盖掉。

下边是以下几个步骤：

在 composer.json 中去掉调用

一般情况下，去掉包，包在进行更新的时候会自己删除。

在 vendor/composer/installed.json 中去掉这个已经安装的引用

这样在再次安装的时候这个包就会保留到本地，不会被删除掉。

在 composer.json 中加入对这个包的命名空间的映射

因为composer 的包都会自动进行加载，如果没有进行加载，则也是找不到这个文件，所以需要对命名空间做下映射

比如我们引用一个第三方包，他的命名空间是这样的：

"autoload": {
    "psr-4": {
        "Imvkmark\\L5Thumber\\": "src/L5Thumber"
    }
},
我们需要在根目录下的 composer.json加入

"autoload": {
    "psr-4": {
        "Imvkmark\\L5Thumber\\": "vendor/imvkmark/l5-thumber/src/L5Thumber",
    }
},

这样便能够对包的命名空间进行映射，同时进行修改了。

更新 composer.json

其实到这里已经结束，并且完成了自己的功能了。

这样我们可以不受顾忌的修改代码，并且同时给作者发送推送请求，等待作者更新这个代码，然后我们再改回来，这样我们又能够使用最新的库了。

PHP 5.2.0版本对于日期与时间上添加了DateTime、DateIntervel和DateTimeZone类了，我们下面一起来看看了解新版本php这几个新函数的用法吧。

处理日期和时间需要考虑很多事情，例如日期的格式、时区、闰年和天数各异的月份，自己处理太容易出错了，我们应该使用PHP 5.2.0引入的DateTime、DateIntervel和DateTimeZone这些类帮助我们创建及处理日期、时间和时区。

设置默认时区

首先我们要为PHP中处理日期和时间的函数设置默认时区，如果不设置的话，PHP会显示一个E_WARNING消息，设置默认时区有两种方式，可以像下面这样在php.ini中设置：

date.timezone = 'Asia/Shanghai';

也可以在运行时使用date_default_timezone_set()函数设置：

<?php
date_default_timezone_set('Asia/Shanghai');

这两种方式都要求使用有效的时区标识符，PHP完整的时区标识符可以在这里找到：http://php.net/manual/zh/timezones.php

DateTime类

DateTime类提供了一个面向对象接口，用于管理日期和时间，一个DateTime实例表示一个具体的日期和时间，DateTime构造方法是创建DateTime新实例最简单的方式：

<?php
$datetime = new DateTime();

如果没有参数，DateTime类的构造方法创建的是一个表示当前日期和时间的实例。我们可以把一个字符串传入DateTime类的构造方法以便指定日期和时间：

<?php
$datetime = new DateTime('2016-06-06 10:00 pm');

注：传入的字符串参数必须是有效的日期和时间格式（http://php.net/manual/zh/datetime.formats.php）
理想情况下，我们会指定PHP能理解的日期和时间格式，可是实际情况并不总是如此，有时我们必须处理其它格式或出乎意料的格式，这时我们可以通过DateTime提供的静态方法createFromFormat来使用自定义的格式创建DateTime实例，该方法的第一个参数是表示日期和时间格式的字符串，第二个参数是要使用这种格式的日期和时间字符串：

<?php
$datetime = DateTime::createFromFormat('M j, Y H:i:s', 'June 6, 2016 22:00:00');
注：也许你很眼熟，没错，DateTime::createFromFormat和date函数类似。可用的日期时间格式参考这里：http://php.net/manual/zh/datetime.createfromformat.php

DateInterval类

处理DateTime实例之前需要先了解DateInterval类，DateInterval实例表示长度固定的时间段（比如两天），或者相对而言的时间段（例如昨天），我们通常使用该类的实例来修改DateTime实例。例如，DateTime提供了用于处理DateTime实例的add和sub方法，这两个方法的参数是一个DateInterval实例，表示从DateTime中增加的时间量或减少的时间量。

我们使用构造函数实例化DateInterval实例，DateInterval构造函数的参数是一个表示时间间隔约定的字符串，这个时间间隔约定以字母P开头，后面跟着一个整数，最后是一个周期标识符，限定前面的整数。有效周期标识符如下：

Y（年）
M（月）
D（日）
W（周）
H（时）
M（分）
S（秒）

间隔约定中既可以有时间也可以有日期，如果有时间需要在日期和时间之间加上字母T，例如，间隔约定P2D表示间隔两天，间隔约定P2DT5H2M表示间隔两天五小时两分钟。

下面的实例演示了如何使用add方法将DateTime实例表示的日期和时间向后推移一段时间：

<?php
//创建DateTime实例
$datetime = new DateTime('2016-06-06 22:00:00');

//创建长度为两天的间隔
$interval = new DateInterval('P2D');

//修改DateTime实例
$datetime->add($interval);
echo $datetime->format('Y-m-d H:i:s');

我们还可以创建反向的DateInterval实例：

<?php
$datetime = new DateTime();
$interval = DateInterval::createFromDateString('-1 day');
$period = new DatePeriod($datetime, $interval, 3);
foreach ($period as $date) {
    echo $date->format('Y-m-d'), PHP_EOL;
}

以上代码输出为：

2016-06-06
2016-06-05
2016-06-04
2016-06-03

DateTimeZone类

PHP使用DateTimeZone类表示时区，我们只需要把有效的时区标识符传递给DateTimeZone类的构造函数：

<?php
$timezone = new DateTimeZone('Asia/Shanghai');

创建DateTime实例通常需要使用DateTimeZone实例，DateTime类构造方法的第二个参数（可选）就是一个DateTimeZone实例，传入这个参数后，DateTime实例的值以及对这个值的所有修改都相对于这个指定的时区，如果不传入则使用的是前面设置的默认时区：

<?php
$timezone = new DateTimeZone('Asia/Shanghai');
$datetime = new DateTime('2016-06-06', $timezone);
实例化之后还可以使用setTimezone方法修改DateTime实例的时区：

<?php
$timezone = new DateTimeZone('Asia/Shanghai');
$datetime = new DateTime('2016-06-06', $timezone);
$datetime->setTimezone(new DateTimeZone('Asia/Hong_kong'));

DatePeriod类

有时我们需要迭代处理一段时间内反复出现的一系列日期和时间，DatePeriod类可以解决这个问题（前面已经用到过），DatePeriod类的构造方法接受三个参数而且都必须提供：

一个DateTime实例，表示迭代开始的日期和时间
一个DateInterval实例，表示下一个日期和时间的间隔
一个整数，表示迭代的总次数

DatePeriod是迭代器，每次迭代都会产出一个DateTime实例。DatePeriod的第四个参数是可选的，用于显式指定周期的结束日期和时间，如果迭代时想要排除开始日期和时间，可以把构造方法的最后一个参数设为DatePeriod::EXCLUDE_START_DATE常量：

<?php
$datetime = new DateTime();
$interval = new DateInterval('P2D');
$period = new DatePeriod($datetime, $interval, 3, DatePeriod::EXCLUDE_START_DATE);
foreach ($period as $date) {
    echo $date->format('Y-m-d H:i:s'), PHP_EOL;
}

打印的结果是：

2016-06-08
2016-06-10
2016-06-12

nesbot/carbon日期组件

如果经常需要处理日期和时间，应该使用nesbot/carbon组件（https://github.com/briannesbitt/Carbon），Laravel框架也是使用了这个组件处理日期和时间，该组件集成了常用的日期及时间处理API，其底层正是使用了我们上面提到的几个日期时间处理类实现了各种功能，有兴趣可以去研究下。

本文章来为各位介绍一篇关于　Thinkphp实例化对象的四种方法比较的教程，希望这篇教程能够帮助到各位朋友。

在Thinkphp有四种不同的方法实例化对象，new方法、D方法、M方法、空模型方法，比较常用的是D方法和M方法。本文大都是官方手册东西，自己稍微做了下总结。

New方法

new方法是最好理解的一种方法，就是普通的实例化类，参数可选，依次是表名、表前缀、数据库连接信息，大多数情况下不需要传参。

new \Home\Model\NewModel('new','think_','DB_CONFIG');

D方法

D方法Thingkphp（下面简称TP）系统提供的一个实例化类的快捷方法，通过D方法我们可以快速的实例化一个类并使用。

//实例化模型
$User = D('User');
// 相当于
$User = new \Home\Model\UserModel();
// 执行具体的数据操作
$User->select();
当 \Home\Model\UserModel 类不存在的时候，D函数会尝试实例化公共模块下面的 \Common\Model\UserModel 类，如果还不存在的话则会实例化系统的\Think\Model基类，这是一点值得注意的地方。

M方法

D方法实例化模型类的时候通常是实例化某个具体的模型类，如果你仅仅是对数据表进行基本的CURD操作的话，使用M方法实例化的话，由于不需要加载具体的模型类，所以性能会更高。

// 使用M方法实例化

$User = M('User');
// 和下面用法等效
$User = new \Think\Model('User');
// 执行其他的数据操作$User->select();
如果你的模型类有自己的业务逻辑，M方法是无法支持的，就算是你已经定义了具体的模型类，M方法实例化的时候是会直接忽略。

实例化空模型类

如果你仅仅是使用原生SQL查询的话，不需要使用额外的模型类，实例化一个空模型类即可进行操作了

//实例化空模型
$Model = new Model();
//或者使用M快捷方法是等效的
$Model = M();
//进行原生的SQL查询
$Model->query('SELECT * FROM think_user WHERE status = 1');
总结

我们在实例化的过程中，经常使用D方法和M方法，这两个方法的区别在于M方法实例化模型无需用户为每个数据表定义模型类，如果D方法没有找到定义的模型类，则会自动调用M方法，M方法会直接忽略自定义的具体模型类。