PHP表單驗證

PHP 表單驗證

本章節(jié)我們將介紹如何使用PHP驗證客戶端提交的表單數(shù)據(jù)。

PHP 表單驗證

	在處理PHP表單時我們需要考慮安全性。 本章節(jié)我們將展示PHP表單數(shù)據(jù)安全處理，為了防止黑客及垃圾信息我們需要對表單進行數(shù)據(jù)安全驗證。

在本章節(jié)介紹的HTML表單中包含以下輸入字段： 必須與可選文本字段，單選按鈕，及提交按鈕：

上述表單驗證規(guī)則如下：

首先讓我們先看看純HTML的表單代碼：

文本字段

name, email, 及 website 字段為文本輸入元素， comment 字段是 textarea。HTML代碼如下所示:

單選按鈕

gender 字段是單選按鈕，HTML代碼如下所示：

表單元素

HTML 表單代碼如下所示：:

該表單使用 method="post" 方法來提交數(shù)據(jù)。

	什么是 $_SERVER["PHP_SELF"] 變量? $_SERVER["PHP_SELF"]是超級全局變量，返回當(dāng)前正在執(zhí)行腳本的文件名，與 document root相關(guān)。

所以， $_SERVER["PHP_SELF"] 會發(fā)送表單數(shù)據(jù)到當(dāng)前頁面，而不是跳轉(zhuǎn)到不同的頁面。

	什么是 htmlspecialchars()方法? htmlspecialchars() 函數(shù)把一些預(yù)定義的字符轉(zhuǎn)換為 HTML 實體。 預(yù)定義的字符是： & （和號） 成為 &amp; " （雙引號） 成為 &quot; ' （單引號） 成為 ' < （小于） 成為 &lt; > （大于） 成為 &gt;

PHP表單中需引起注重的地方？

$_SERVER["PHP_SELF"] 變量有可能會被黑客使用！

當(dāng)黑客使用跨網(wǎng)站腳本的HTTP鏈接來攻擊時，$_SERVER["PHP_SELF"]服務(wù)器變量也會被植入腳本。原因就是跨網(wǎng)站腳本是附在執(zhí)行文件的路徑后面的，因此$_SERVER["PHP_SELF"]的字符串就會包含HTTP鏈接后面的JavaScript程序代碼。

	XSS又叫 CSS (Cross-Site Script) ,跨站腳本攻擊。惡意攻擊者往Web頁面里插入惡意html代碼，當(dāng)用戶瀏覽該頁之時，嵌入其中Web里面的html代碼會被執(zhí)行，從而達到惡意用戶的特殊目的。

指定以下表單文件名為 "test_form.php":

現(xiàn)在，我們使用URL來指定提交地址 "http://hgci.cn/test_form.php",以上代碼修改為如下所示:

這樣做就很好了。

但是，考慮到用戶會在瀏覽器地址欄中輸入以下地址:

In this case, the above code will be translated to:

代碼中添加了 script 標(biāo)簽，并添加了alert命令。 當(dāng)頁面載入時會執(zhí)行該Javascript代碼（用戶會看到彈出框）。 這僅僅只是一個簡單的實例來說明PHP_SELF變量會被黑客利用。

請注意， 任何JavaScript代碼可以添加在<script>標(biāo)簽中！ 黑客可以利用這點重定向頁面到另外一臺服務(wù)器的頁面上，頁面 代碼文件中可以保護惡意代碼，代碼可以修改全局變量或者獲取用戶的表單數(shù)據(jù)，實例：

如何避免 $_SERVER["PHP_SELF"] 被利用?

$_SERVER["PHP_SELF"] 可以通過 htmlspecialchars() 函數(shù)來避免被利用。

form 代碼如下所示：

htmlspecialchars() 把一些預(yù)定義的字符轉(zhuǎn)換為 HTML 實體。現(xiàn)在如果用戶想利用 PHP_SELF 變量, 結(jié)果將輸出如下所示：

嘗試該漏洞失??！

使用 PHP 驗證表單數(shù)據(jù)

首先我們對用戶所有提交的數(shù)據(jù)都通過 PHP 的 htmlspecialchars() 函數(shù)處理。

當(dāng)我們使用 htmlspecialchars() 函數(shù)時，在用戶嘗試提交以下文本域:

<script>location.href('http://hgci.cn')</script>

- 該代碼將不會被執(zhí)行，因為它會被保存為HTML轉(zhuǎn)義代碼，如下所示：

&lt;script&gt;location.href('http://hgci.cn')&lt;/script&gt;

以上代碼是安全的，可以正常在頁面顯示或者插入郵件中。

當(dāng)用戶提交表單時，我們將做以下兩件事情，：

1. 使用 PHP trim() 函數(shù)去除用戶輸入數(shù)據(jù)中不必要的字符 (如：空格，tab，換行)。
2. 使用PHP stripslashes()函數(shù)去除用戶輸入數(shù)據(jù)中的反斜杠 (\)

接下來讓我們將這些過濾的函數(shù)寫在一個我們自己定義的函數(shù)中，這樣可以大大提高代碼的復(fù)用性。

將函數(shù)命名為 test_input()。

現(xiàn)在，我們可以通過test_input()函數(shù)來檢測 $_POST 中的所有變量, 腳本代碼如下所示：

注意我們在執(zhí)行以上腳本時，會通過$_SERVER["REQUEST_METHOD"]來檢測表單是否被提交 。如果 REQUEST_METHOD 是 POST, 表單將被提交 - 數(shù)據(jù)將被驗證。如果表單未提交將跳過驗證并顯示空白。

在以上實例中使用輸入項都是可選的，即使用戶不輸入任何數(shù)據(jù)也可以正常顯示。

在接下來的章節(jié)中我們將介紹如何對用戶輸入的數(shù)據(jù)進行驗證。