PHP中显示格式化的用户输入


Posted in PHP onOctober 09, 2006

你可以在这个页面下载这个文档附带的文件,也可以在文件下载中的字符处理中下载这个文档描述如何安全显示的有格式的用户输入。我们将讨论没有经过过滤的输出的危险,给出一个安全的显示格式化输出的方法。

没有过滤输出的危险

如果你仅仅获得用户的输入然后显示它,你可能会破坏你的输出页面,如一些人能恶意地在他们提交的输入框中嵌入javascript脚本:

This is my comment.
<script language="javascript:
alert('Do something bad here!')">.

这样,即使用户不是恶意的,也会破坏你的一些HTML的语句,如一个表格突然中断,或是页面显示不完整。

只显示无格式的文本

这是一个最简单的解决方案,你只是将用户提交的信息显示为无格式的文本。使用htmlspecialchars()函数,将转化全部的字符为HTML的编码。

如<b>将转变为<b>,这可以保证不会有意想不到的HTML标记在不适当的时候输出。
这是一个好的解决方案,如果你的用户只关注没有格式的文本内容。但是,如果你给出一些可以格式化的能力,它将更好一些。
Formatting with Custom Markup Tags
用户自己的标记作格式化

你可以提供特殊的标记给用户使用,例如,你可以允许使用[b]...[/b]加重显示,[i]...[/i]斜体显示,这样做简单的查找替换操作就可以了: $output = str_replace("[b]", "<b>", $output);
$output = str_replace("[i]", "<i>", $output);

再作的好一点,我们可以允许用户键入一些链接。例如,用户将允许输入[link="url"]...[/link],我们将转换为<a href="">...</a>语句

这时,我们不能使用一个简单的查找替换,应该使用正则表达式进行替换:
$output = ereg_replace('\[link="([[:graph:]]+)"\]', '<a href="\\1">', $output);

ereg_replace()的执行就是:
查找出现[link="..."]的字符串,使用<a href="..."> 替换它
[[:graph:]]的含义是任何非空字符,有关正则表达式请看相关的文章。

在outputlib.php的format_output()函数提供这些标记的转换,总体上的原则是:
调用htmlspecialchars()将HTML标记转换成特殊编码,将不该显示的HTML标记过滤掉,
然后,将一系列我们自定义的标记转换相应的HTML标记。
请参看下面的源代码:
<?php

function format_output($output) {
/****************************************************************************
* Takes a raw string ($output) and formats it for output using a special
* stripped down markup that is similar to HTML
****************************************************************************/

$output = htmlspecialchars(stripslashes($output));

/* new paragraph */
$output = str_replace('[p]', '<p>', $output);

/* bold */
$output = str_replace('[b]', '<b>', $output);
$output = str_replace('[/b]', '</b>', $output);

/* italics */
$output = str_replace('[i]', '<i>', $output);
$output = str_replace('[/i]', '</i>', $output);

/* preformatted */
$output = str_replace('[pre]', '<pre>', $output);
$output = str_replace('[/pre]', '</pre>', $output);

/* indented blocks (blockquote) */
$output = str_replace('[indent]', '<blockquote>', $output);
$output = str_replace('[/indent]', '</blockquote>', $output);

/* anchors */
$output = ereg_replace('\[anchor="([[:graph:]]+)"\]', '<a name="\\1"></a>', $output);

/* links, note we try to prevent javascript in links */
$output = str_replace('[link="javascript', '[link=" javascript', $output);
$output = ereg_replace('\[link="([[:graph:]]+)"\]', '<a href="\\1">', $output);
$output = str_replace('[/link]', '</a>', $output);

return nl2br($output);
}

?>

一些注意的地方:

记住替换自定义标记生成HTML标记字符串是在调用htmlspecialchars()函数之后,而不是在这个调用之前,否则你的艰苦的工作在调用htmlspecialchars()后将付之东流。

在经过转换之后,查找HTML代码将是替换过的,如双引号"将成为"

nl2br()函数将回车换行符转换为<br>标记,也要在htmlspecialchars()之后。

当转换[links=""] 到 <a href="">, 你必须确认提交者不会插入javascript脚本,一个简单的方法去更改[link="javascript 到 [link=" javascript, 这种方式将不替换,只是将原本的代码显示出来。

outputlib.php
在浏览器中调用test.php,可以看到format_output() 的使用情况

正常的HTML标记不能被使用,用下列的特殊标记替换它:

- this is [b]bold[/b]
- this is [i]italics[/i]
- this is [link="http://www.phpbuilder.com"]a link[/link]
- this is [anchor="test"]an anchor, and a [link="#test"]link[/link] to the anchor

[p]段落
[pre]预先格式化[/pre]
[indent]交错文本[/indent]

这些只是很少的标记,当然,你可以根据你的需求随意加入更多的标记

Conclusion
结论

这个讨论提供安全显示用户输入的方法,可以使用在下列程序中

留言板
用户建议
系统公告
BBS系统

PHP 相关文章推荐
smarty实例教程
Nov 19 PHP
PHP 已经成熟
Dec 04 PHP
PHP 程序授权验证开发思路
Jul 09 PHP
Apache 配置详解(最好的APACHE配置教程)
Jul 04 PHP
PHP中英混合字符串截取函数代码
Jul 17 PHP
PHP IE中下载附件问题解决方法
Jan 07 PHP
PHP实现的连贯操作、链式操作实例
Jul 08 PHP
php中创建和调用webservice接口示例
Jul 25 PHP
Yii不依赖Model的表单生成器用法实例
Dec 04 PHP
php操作路径的经典方法(必看篇)
Oct 04 PHP
实例讲解YII2中多表关联的使用方法
Jul 21 PHP
PHP给源代码加密的几种方法汇总(推荐)
Feb 06 PHP
提升PHP执行速度全攻略(下)
Oct 09 #PHP
PHP的面向对象编程
Oct 09 #PHP
PHP文本数据库的搜索方法
Oct 09 #PHP
PHP:风雨欲来 路在何方?
Oct 09 #PHP
用Socket发送电子邮件(利用需要验证的SMTP服务器)
Oct 09 #PHP
用PHP实现登陆验证码(类似条行码状)
Oct 09 #PHP
用PHP创建PDF中文文档
Oct 09 #PHP
You might like
我用php+mysql写的留言本
2006/10/09 PHP
php url地址栏传中文乱码解决方法集合
2010/06/25 PHP
PHP Undefined index报错的修复方法
2011/07/17 PHP
PHP数组循环操作详细介绍 附实例代码
2013/02/03 PHP
ThinkPHP的模版中调用session数据的方法
2014/07/01 PHP
PHP文件缓存类示例分享
2015/01/30 PHP
thinkPHP连接sqlite3数据库的实现方法(附Thinkphp代码生成器下载)
2016/05/27 PHP
PHP url的pathinfo模式加载不同控制器的简单实现
2016/08/12 PHP
laravel添加前台跳转成功页面示例
2019/10/22 PHP
Mootools 1.2教程 输入过滤第一部分(数字)
2009/09/15 Javascript
jquery学习总结(超级详细)
2014/09/04 Javascript
jQuery实现分章节锚点“回到顶部”动画特效代码
2015/10/23 Javascript
javascript设计简单的秒表计时器
2020/09/05 Javascript
js实现为a标签添加事件的方法(使用闭包循环)
2016/08/02 Javascript
JS快速实现移动端拼图游戏
2016/09/05 Javascript
自定义vue全局组件use使用、vuex的使用详解
2017/06/14 Javascript
Node.js如何使用Diffie-Hellman密钥交换算法详解
2017/09/05 Javascript
JS执行控制之节流模式实例分析
2018/12/21 Javascript
Javascript执行流程细节原理解析
2020/05/14 Javascript
[01:08:32]DOTA2-DPC中国联赛 正赛 DLG vs PHOENIX BO3 第二场 1月18日
2021/03/11 DOTA
python连接mysql数据库示例(做增删改操作)
2013/12/31 Python
2018年Python值得关注的开源库、工具和开发者(总结篇)
2018/01/04 Python
详解pyqt5 动画在QThread线程中无法运行问题
2018/05/05 Python
python中for用来遍历range函数的方法
2018/06/08 Python
python基于property()函数定义属性
2020/01/22 Python
python对接ihuyi实现短信验证码发送
2020/05/10 Python
Python数据可视化实现漏斗图过程图解
2020/07/20 Python
python 19个值得学习的编程技巧
2020/08/15 Python
Myprotein亚太地区:欧洲第一在线运动营养品牌
2020/12/20 全球购物
学生干部的自我评价分享
2014/01/18 职场文书
工作决心书
2014/03/11 职场文书
老公保证书范文
2014/04/29 职场文书
秦兵马俑导游词
2015/02/02 职场文书
解决Golang time.Parse和time.Format的时区问题
2021/04/29 Golang
详解MySql中InnoDB存储引擎中的各种锁
2022/02/12 MySQL
SQL Server中的游标介绍
2022/05/20 SQL Server