PHP表單驗(yàn)證)

1、本節(jié)和下一節(jié)講解如何使用 PHP 來(lái)驗(yàn)證表單數(shù)據(jù)。PHP 表單驗(yàn)證提示：在處理 PHP 表單時(shí)請(qǐng)重視安全性！這些頁(yè)面將展示如何安全地處理 PHP 表單。對(duì) HTML 表單數(shù)據(jù)進(jìn)行適當(dāng)?shù)尿?yàn)證對(duì)于防范黑客和垃圾郵件很重要！我們稍后使用的 HTML 表單包含多種輸入字段：必需和可選的文本字段、單選按鈕以及提交按鈕：上面的表單使用如下驗(yàn)證規(guī)則：字段驗(yàn)證規(guī)則Name必需。必須包含字母和空格。E-mail必需。必須包含有效的電子郵件地址（包含 和 .）。Website可選。如果選填，則必須包含有效的 URL。Comment可選。多行輸入字段（文本框）。Gender必需。必須選擇一項(xiàng)。首先我們看一下這個(gè)表單

2、的純 HTML 代碼：文本字段name、email 和 website 屬于文本輸入元素，comment 字段是文本框。HTML 代碼是這樣的：Name: <input type="text" name="name">E-mail: <input type="text" name="email">Website: <input type="text" name="website">Comment: <textarea name=&qu

3、ot;comment" rows="5" cols="40"></textarea>單選按鈕gender 字段是單選按鈕，HTML 代碼是這樣的：Gender:<input type="radio" name="gender" value="female">Female<input type="radio" name="gender" value="male">Male表單元素表單的

4、HTML 代碼是這樣的：<form method="post" action="<?php echo htmlspecialchars($_SERVER"PHP_SELF");?>">當(dāng)提交此表單時(shí)，通過(guò) method="post" 發(fā)送表單數(shù)據(jù)。什么是 $_SERVER"PHP_SELF" 變量？$_SERVER"PHP_SELF" 是一種超全局變量，它返回當(dāng)前執(zhí)行腳本的文件名。因此，$_SERVER"PHP_SELF" 將表單數(shù)

5、據(jù)發(fā)送到頁(yè)面本身，而不是跳轉(zhuǎn)到另一張頁(yè)面。這樣，用戶就能夠在表單頁(yè)面獲得錯(cuò)誤提示信息。什么是 htmlspecialchars() 函數(shù)？htmlspecialchars() 函數(shù)把特殊字符轉(zhuǎn)換為 HTML 實(shí)體。這意味著 < 和 > 之類(lèi)的 HTML 字符會(huì)被替換為 &lt; 和 &gt; 。這樣可防止攻擊者通過(guò)在表單中注入 HTML 或 JavaScript 代碼（跨站點(diǎn)腳本攻擊）對(duì)代碼進(jìn)行利用。關(guān)于 PHP 表單安全性的重要提示$_SERVER"PHP_SELF" 變量能夠被黑客利用！如果您的頁(yè)面使用了 PHP_SELF，用戶能夠輸入下劃線

6、然后執(zhí)行跨站點(diǎn)腳本（XSS）。提示：跨站點(diǎn)腳本（Cross-site scripting，XSS）是一種計(jì)算機(jī)安全漏洞類(lèi)型，常見(jiàn)于 Web 應(yīng)用程序。XSS 能夠使攻擊者向其他用戶瀏覽的網(wǎng)頁(yè)中輸入客戶端腳本。假設(shè)我們的一張名為 "test_form.php" 的頁(yè)面中有如下表單：<form method="post" action="<?php echo $_SERVER"PHP_SELF"?>">現(xiàn)在，如果用戶進(jìn)入的是地址欄中正常的 URL：，上面的代碼會(huì)轉(zhuǎn)換為：<form meth

7、od="post" action="test_form.php">到目前，一切正常。不過(guò)，如果用戶在地址欄中鍵入了如下 URL：在這種情況下，上面的代碼會(huì)轉(zhuǎn)換為：<form method="post" action="test_form.php"/><script>alert('hacked')</script>這段代碼加入了一段腳本和一個(gè)提示命令。并且當(dāng)此頁(yè)面加載后，就會(huì)執(zhí)行 JavaScript 代碼（用戶會(huì)看到一個(gè)提示框）。這僅僅是一個(gè)關(guān)于 PHP_S

8、ELF 變量如何被利用的簡(jiǎn)單無(wú)害案例。您應(yīng)該意識(shí)到 <script> 標(biāo)簽內(nèi)能夠添加任何 JavaScript 代碼！黑客能夠把用戶重定向到另一臺(tái)服務(wù)器上的某個(gè)文件，該文件中的惡意代碼能夠更改全局變量或?qū)⒈韱翁峤坏狡渌刂芬员４嬗脩魯?shù)據(jù)，等等。如果避免 $_SERVER"PHP_SELF" 被利用？通過(guò)使用 htmlspecialchars() 函數(shù)能夠避免 $_SERVER"PHP_SELF" 被利用。表單代碼是這樣的：<form method="post" action="<?php e

9、cho htmlspecialchars($_SERVER"PHP_SELF");?>">htmlspecialchars() 函數(shù)把特殊字符轉(zhuǎn)換為 HTML 實(shí)體?，F(xiàn)在，如果用戶試圖利用 PHP_SELF 變量，會(huì)導(dǎo)致如下輸出：<form method="post" action="test_form.php/"><script>alert('hacked')</script>">無(wú)法利用，沒(méi)有危害！通過(guò) PHP 驗(yàn)證表單數(shù)據(jù)我們要做的第一件事

10、是通過(guò) PHP 的 htmlspecialchars() 函數(shù)傳遞所有變量。在我們使用 htmlspecialchars() 函數(shù)后，如果用戶試圖在文本字段中提交以下內(nèi)容：- 代碼不會(huì)執(zhí)行，因?yàn)闀?huì)被保存為轉(zhuǎn)義代碼，就像這樣：現(xiàn)在這條代碼顯示在頁(yè)面上或 e-mail 中是安全的。在用戶提交該表單時(shí)，我們還要做兩件事：1. （通過(guò) PHP trim() 函數(shù)）去除用戶輸入數(shù)據(jù)中不必要的字符（多余的空格、制表符、換行）2. （通過(guò) PHP stripslashes() 函數(shù)）刪除用戶輸入數(shù)據(jù)中的反斜杠（）接下來(lái)我們創(chuàng)建一個(gè)檢查函數(shù)（相比一遍遍地寫(xiě)代碼，這樣效率更好）。我們把函數(shù)命名為 test_in

11、put()?，F(xiàn)在，我們能夠通過(guò) test_input() 函數(shù)檢查每個(gè) $_POST 變量，腳本是這樣的：實(shí)例<?php/ 定義變量并設(shè)置為空值$name = $email = $gender = $comment = $website = ""if ($_SERVER"REQUEST_METHOD" = "POST") $name = test_input($_POST"name"); $email = test_input($_POST"email"); $website = test_input($_POST"website"); $comment = test_input($_POST"comment"); $gender = test_input($_POST"gender");function test_input($data) $data = trim($data); $data = stripslashes($data); $data = htmlspecialchars($data); return $data;?>運(yùn)行實(shí)例請(qǐng)注意在腳本開(kāi)頭，我們