劣質(zhì)的PHP代碼簡化
更新時(shí)間：2010年02月08日 08:51:05 作者：
下面這一小段“劣質(zhì)”的PHP代碼是一道簡化了的測試題。這種問題就像在問：你該怎樣優(yōu)化這段代碼？
復(fù)制代碼 代碼如下:
<?
echo("<p>search results for query:").
$_GET['query'].".</p>";
?>
這段代碼的主要問題在于它把用戶提交的數(shù)據(jù)直接顯示到了網(wǎng)頁上，從而產(chǎn)生XSS漏洞。其實(shí)有很多方法可以填補(bǔ)這個(gè)漏洞。那么，什么代碼是我們想要的呢？
復(fù)制代碼 代碼如下:
<?
echo("<p>search results for query:").
htmlspecialchars($_GET['query']).".</p>";
?>
這是最低要求。XSS漏洞用htmlspecialchars函數(shù)填補(bǔ)了，從而屏蔽了非法字符。
復(fù)制代碼 代碼如下:
<?php
if(isset($_GET['query']))
echo'<p>search results for query:'，
htmlspecialchars($_GET['query'],ENT_QUOTES).'.</p>';
?>
能寫出這樣代碼的人應(yīng)該是我想要錄用的人了：
*<?被替換成了<?php,這樣更符合XML規(guī)范。
*在輸出$_GET['query']值前先判斷它是否為空。
*echo命令中多余的括號(hào)被去掉了。
*字符串用單引號(hào)限定，從而節(jié)省了PHP從字符串中搜索可替換的變量的時(shí)間。
*用逗號(hào)代替句號(hào)，節(jié)省了echo的時(shí)間。
*將ENT_QUOTES標(biāo)識(shí)傳遞給htmlspecialchars函數(shù)，從而保證單引號(hào)也會(huì)被轉(zhuǎn)義，雖然這并不是最主要的，但也算是一個(gè)良好的習(xí)慣
相關(guān)文章
php環(huán)境配置 php5 mysql5 apache2 phpmyadmin安裝與配置
php環(huán)境配置 php5 mysql5 apache2 phpmyadmin安裝與配置...2006-11-11
php的優(yōu)點(diǎn)總結(jié) php有哪些優(yōu)點(diǎn)
在本篇文章里小編給各位整理了關(guān)于php的優(yōu)點(diǎn)的總結(jié)內(nèi)容以及相關(guān)知識(shí)點(diǎn)整理，需要的朋友們學(xué)習(xí)下。2019-07-07
2008-01-01
PHP 文件編程綜合案例-文件上傳的實(shí)現(xiàn)
本篇文章是對PHP中文件上傳的實(shí)現(xiàn)代碼進(jìn)行了詳細(xì)的分析介紹，需要的朋友參考下2013-07-07
PHP預(yù)防SQL注入、CSRF和XSS攻擊的常見措施
在開發(fā) PHP 應(yīng)用程序時(shí),確保應(yīng)用程序的安全性至關(guān)重要,SQL 注入、CSRF（跨站請求偽造）和 XSS（跨站腳本攻擊）是一些常見的安全威脅,本文給大家介紹了PHP預(yù)防SQL注入、CSRF和XSS攻擊的常見措施,需要的朋友可以參考下2023-11-11
這篇文章主要介紹了php過濾html標(biāo)記屬性類及其用法,包括對HTML標(biāo)記元素的過濾、移除、轉(zhuǎn)義等等操作,非常實(shí)用,需要的朋友可以參考下2014-09-09
Ajax+PHP實(shí)現(xiàn)的分類列表框功能示例
這篇文章主要介紹了Ajax+PHP實(shí)現(xiàn)的分類列表框功能,涉及php結(jié)合ajax交互查詢數(shù)據(jù)庫與列表框構(gòu)建相關(guān)操作技巧,需要的朋友可以參考下2019-02-02
php去除換行符的方法小結(jié)(PHP_EOL變量的使用)
本來在unix世界換行就用/n來代替，但是windows為了體現(xiàn)他的不同，就用/r/n，更有意思的是在mac中用/r。因此unix系列用 /n，windows系列用 /r/n，mac用 /r，這樣就用你寫的程序在不同的平臺(tái)上運(yùn)行有著不少的麻煩2013-02-02
收集的DedeCMS一些使用經(jīng)驗(yàn)...2007-03-03
PHP開發(fā)中需要注意的問題，這樣要吧提高PHP編程效率2013-11-11