php过滤特殊危险字符的总结

在网站中表单提交或url获取值我们都可能碰到一些安全问题,下面我总结了一些常用的过滤一些危险特殊字符的解决方法,一般,对于传进来的字符，php可以用addslashes函数处理一遍（要get_magic_quotes_gpc()为假才处理，不然就重复转义了！），这样就能达到一定程度的安全要求,比如这样,代码如下:

1. if (!get_magic_quotes_gpc()) {      
2.      add_slashes($_GET);      
3.      add_slashes($_POST);      
4.      add_slashes($_COOKIE);      
5. }      
6.       
7. function add_slashes($string) {      
8.      if (is_array($string)) {      
9.          foreach ($string as $key => $value) {      
10.              $string[$key] = add_slashes($value);      
11.          }      
12.      } else {      
13.          $string = addslashes($string);      
14.      }  
15.      return $string;      
16. } 

但是还可以更进一步进行重新编码,解码,代码如下:

//编码 

1. function htmlencode($str) {       
2.       if(emptyempty($str)) return;  
3.       if($str=="") return $str;        
4.       $str=trim($str);  
5.       $str=str_replace("&","&",$str);  
6.       $str=str_replace(">",">",$str);  
7.       $str=str_replace("<","<",$str);  
8.       $str=str_replace(chr(32)," ",$str);  
9.       $str=str_replace(chr(9)," ",$str);  
10.       $str=str_replace(chr(34),"&",$str);  
11.       $str=str_replace(chr(39),"&＃39;",$str);  
12.       $str=str_replace(chr(13),"",$str);  
13.       $str=str_replace("&＃39;","&＃39;&＃39;",$str);  
14.       $str=str_replace("select","sel&＃101;ct",$str);  
15.       $str=str_replace("join","jo&＃105;n",$str);  
16.       $str=str_replace("union","un&＃105;on",$str);  
17.       $str=str_replace("where","wh&＃101;re",$str);  
18.       $str=str_replace("insert","ins&＃101;rt",$str);  
19.       $str=str_replace("delete","del&＃101;te",$str);  
20.       $str=str_replace("update","up&＃100;ate",$str);  
21.       $str=str_replace("like","lik&＃101;",$str);  
22.       $str=str_replace("drop","dro&＃112;",$str);  
23.       $str=str_replace("create","cr&＃101;ate",$str);  
24.       $str=str_replace("modify","mod&＃105;fy",$str);  
25.       $str=str_replace("rename","ren&＃097;me",$str);  
26.       $str=str_replace("alter","alt&＃101;r",$str);  
27.       $str=str_replace("cast","ca&＃115;",$str);        
28.       return $str;   
29. } 

这样就能更放心的对外来数据进行入库处理了,但是从数据库取出来,在前台显示的时候,必须重新解码一下,代码如下:

1. //解码 
2.  
3. function htmldecode($str) {       
4.       if(emptyempty($str)) return;  
5.       if($str=="")  return $str;  
6.       $str=str_replace("sel&＃101;ct","select",$str);  
7.       $str=str_replace("jo&＃105;n","join",$str);  
8.       $str=str_replace("un&＃105;on","union",$str);  
9.       $str=str_replace("wh&＃101;re","where",$str);  
10.       $str=str_replace("ins&＃101;rt","insert",$str);  
11.       $str=str_replace("del&＃101;te","delete",$str);  
12.       $str=str_replace("up&＃100;ate","update",$str);  
13.       $str=str_replace("lik&＃101;","like",$str);  
14.       $str=str_replace("dro&＃112;","drop",$str);  
15.       $str=str_replace("cr&＃101;ate","create",$str);  
16.       $str=str_replace("mod&＃105;fy","modify",$str);  
17.       $str=str_replace("ren&＃097;me","rename",$str);  
18.       $str=str_replace("alt&＃101;r","alter",$str);  
19.       $str=str_replace("ca&＃115;","cast",$str);  
20.       $str=str_replace("&","&",$str);  
21.       $str=str_replace(">",">",$str);  
22.       $str=str_replace("<","<",$str);  
23.       $str=str_replace(" ",chr(32),$str);  
24.       $str=str_replace(" ",chr(9),$str);  
25.       $str=str_replace("&",chr(34),$str);  
26.       $str=str_replace("&＃39;",chr(39),$str);  
27.       $str=str_replace("",chr(13),$str);  
28.       $str=str_replace("&＃39;&＃39;","&＃39;",$str);   //开源代码phpfensi.com     
29.       return $str;  
30. } 

虽然多了一步编码,解码的过程,但是安全方面,会更进一步,要如何做,自己取舍吧.

再附一些代码如下:

1. function safe_replace($string) { 
2.  $string = str_replace(&＃39; &＃39;,&＃39;&＃39;,$string); 
3.  $string = str_replace(&＃39;&＃39;&＃39;,&＃39;&＃39;,$string); 
4.  $string = str_replace(&＃39;&＃39;&＃39;,&＃39;&＃39;,$string); 
5.  $string = str_replace(&＃39;*&＃39;,&＃39;&＃39;,$string); 
6.  $string = str_replace(&＃39;"&＃39;,&＃39;"&＃39;,$string); 
7.  $string = str_replace("&＃39;",&＃39;&＃39;,$string); 
8.  $string = str_replace(&＃39;"&＃39;,&＃39;&＃39;,$string); 
9.  $string = str_replace(&＃39;;&＃39;,&＃39;&＃39;,$string); 
10.  $string = str_replace(&＃39;<&＃39;,&＃39;<&＃39;,$string); 
11.  $string = str_replace(&＃39;>&＃39;,&＃39;>&＃39;,$string); 
12.  $string = str_replace("{",&＃39;&＃39;,$string); 
13.  $string = str_replace(&＃39;}&＃39;,&＃39;&＃39;,$string); 
14.  return $string; 
15. } 
16.  
17. //更全面的代码如下: 
18.  
19. //处理提交的数据  
20. function htmldecode($str) {  
21.  if (emptyempty ( $str ) || "" == $str) {  
22.  return "";  
23.  }  
24.    
25.  $str = strip_tags ( $str );  
26.  $str = htmlspecialchars ( $str );  
27.  $str = nl2br ( $str );  
28.  $str = str_replace ( "?", "", $str );  
29.  $str = str_replace ( "*", "", $str );  
30.  $str = str_replace ( "!", "", $str );  
31.  $str = str_replace ( "~", "", $str );  
32.  $str = str_replace ( "$", "", $str );  
33.  $str = str_replace ( "%", "", $str );  
34.  $str = str_replace ( "^", "", $str );  
35.  $str = str_replace ( "^", "", $str );  
36.  $str = str_replace ( "select", "", $str );  
37.  $str = str_replace ( "join", "", $str );  
38.  $str = str_replace ( "union", "", $str );  
39.  $str = str_replace ( "where", "", $str );  
40.  $str = str_replace ( "insert", "", $str );  
41.  $str = str_replace ( "delete", "", $str );  
42.  $str = str_replace ( "update", "", $str );  
43.  $str = str_replace ( "like", "", $str );  
44.  $str = str_replace ( "drop", "", $str );  
45.  $str = str_replace ( "create", "", $str );  
46.  $str = str_replace ( "modify", "", $str );  
47.  $str = str_replace ( "rename", "", $str );  
48.  $str = str_replace ( "alter", "", $str );  
49.  $str = str_replace ( "cast", "", $str );  
50.    
51.  $farr = array ("//s+/", //过滤多余的空白  
52. "/<(//?)(img|script|i?frame|style|html|body|title|link|meta|/?|/%)([^>]*?)>/isU", //过滤 
53. "/(<[^>]*)on[a-zA-Z]+/s*=([^>]*>)/isU" )//过滤Javascript的on事件  
54. ;  
55.  $tarr = array (" ", "", //如果要直接清除不安全的标签，这里可以留空  
56. "" );  
57.  return $str;  
58. }