<?php
$str = "A 'quote' is <b>bold</b>";
//Outputs: A 'quote' is <b>bold</b>
echo $str;
// Outputs: A 'quote' is <b>bold</b>
echo htmlentities($str);
// Outputs: A 'quote' is <b>bold</b>
echo htmlentities($str, ENT_QUOTES);
?>
0
使用
$input_var=sanitize_input($_POST);
和 functions 在下面,几乎消毒了你需要的东西
function sanitize($var, $santype = 1){
if ($santype == 1) {return strip_tags($var);}
if ($santype == 2) {return htmlentities(strip_tags($var),ENT_QUOTES,'UTF-8');}
if ($santype == 3)
{
if (!get_magic_quotes_gpc()) {
return addslashes(htmlentities(strip_tags($var),ENT_QUOTES,'UTF-8'));
}
else {
return htmlentities(strip_tags($var),ENT_QUOTES,'UTF-8');
}
}
}
function sanitize_input($input,$escape_mysql=false,$sanitize_html=true,
$sanitize_special_chars=true,$allowable_tags='<br><b><strong><p>')
{
unset($input['submit']); //we use 'submit' variable for all of our form
$input_array = $input;
//array is not referenced when passed into foreach
//this is why we create another exact array
foreach ($input as $key=>$value)
{
if(!empty($value))
{
$input_array[$key]=strtolower($input_array[$key]);
//stripslashes added by magic quotes
if(get_magic_quotes_gpc()){$input_array[$key]=sanitize($input_array[$key]);}
if($sanitize_html){$input_array[$key] = strip_tags($input_array[$key],$allowable_tags);}
if($sanitize_special_chars){$input_array[$key] = htmlspecialchars($input_array[$key]);}
if($escape_mysql){$input_array[$key] = mysql_real_escape_string($input_array[$key]);}
}
}
return $input_array;
}
4 回答
html净化器 - > http://htmlpurifier.org/
我've always used PHP'的addslashes()和stripslashes()函数,但我也看到了内置的filter_var()函数(link) . 看起来有不少built-in filters .
如果你想运行一个使用让我们说
$_GET['user']
的查询,一个不错的解决方案就是使用mysql_real_escape_string()做这样的事情:如果要将文本存储在数据库中然后将其打印在网页上,请考虑使用htmlentities
[编辑]或者如awshepard所说,你可以使用addslashes()和stripslashes()函数[/ Edit]
以下是防止XSS攻击的一个小清理示例:
使用
和 functions 在下面,几乎消毒了你需要的东西
Remember :它不会清理多维数组,你需要递归地修改它 .