在网站中表单提交或url获取值我们都可能碰到一些安全问题,下面我总结了一些常用的过滤一些危险特殊字符的解决方法,一般,对于传进来的字符，php可以用addslashes函数处理一遍（要get_magic_quotes_gpc()为假才处理，不然就重复转义了！），这样就能达到一定程度的安全要求,比如这样,代码如下:

1. if (!get_magic_quotes_gpc()) {
2. add_slashes($_GET);
3. add_slashes($_POST);
4. add_slashes($_COOKIE);
5. }
6. function add_slashes($string) {
7. if (is_array($string)) {
8. foreach ($string as $key => $value) {
9. $string[$key] = add_slashes($value);
10. }
11. } else {
12. $string = addslashes($string);
13. }
14. return $string;
15. }

但是还可以更进一步进行重新编码,解码,代码如下:

//编码

1. function htmlencode($str) {
2. if(emptyempty($str)) return;
3. if($str=="") return $str;
4. $str=trim($str);
5. $str=str_replace("&","&",$str);
6. $str=str_replace(">",">",$str);
7. $str=str_replace("<","<",$str);
8. $str=str_replace(chr(32)," ",$str);
9. $str=str_replace(chr(9)," ",$str);
10. $str=str_replace(chr(34),"&",$str);
11. $str=str_replace(chr(39),"'",$str);
12. $str=str_replace(chr(13),"<br />",$str);
13. $str=str_replace("'","''",$str);
14. $str=str_replace("select","select",$str);
15. $str=str_replace("join","join",$str);
16. $str=str_replace("union","union",$str);
17. $str=str_replace("where","where",$str);
18. $str=str_replace("insert","insert",$str);
19. $str=str_replace("delete","delete",$str);
20. $str=str_replace("update","update",$str);
21. $str=str_replace("like","like",$str);
22. $str=str_replace("drop","drop",$str);
23. $str=str_replace("create","create",$str);
24. $str=str_replace("modify","modify",$str);
25. $str=str_replace("rename","rename",$str);
26. $str=str_replace("alter","alter",$str);
27. $str=str_replace("cast","cas",$str);
28. return $str;
29. }

这样就能更放心的对外来数据进行入库处理了,但是从数据库取出来,在前台显示的时候,必须重新解码一下,代码如下:

1. //解码
2. function htmldecode($str) {
3. if(emptyempty($str)) return;
4. if($str=="") return $str;
5. $str=str_replace("select","select",$str);
6. $str=str_replace("join","join",$str);
7. $str=str_replace("union","union",$str);
8. $str=str_replace("where","where",$str);
9. $str=str_replace("insert","insert",$str);
10. $str=str_replace("delete","delete",$str);
11. $str=str_replace("update","update",$str);
12. $str=str_replace("like","like",$str);
13. $str=str_replace("drop","drop",$str);
14. $str=str_replace("create","create",$str);
15. $str=str_replace("modify","modify",$str);
16. $str=str_replace("rename","rename",$str);
17. $str=str_replace("alter","alter",$str);
18. $str=str_replace("cas","cast",$str);
19. $str=str_replace("&","&",$str);
20. $str=str_replace(">",">",$str);
21. $str=str_replace("<","<",$str);
22. $str=str_replace(" ",chr(32),$str);
23. $str=str_replace(" ",chr(9),$str);
24. $str=str_replace("&",chr(34),$str);
25. $str=str_replace("'",chr(39),$str);
26. $str=str_replace("<br />",chr(13),$str);
27. $str=str_replace("''","'",$str); //开源代码phpfensi.com
28. return $str;
29. }

虽然多了一步编码,解码的过程,但是安全方面,会更进一步,要如何做,自己取舍吧.

再附一些代码如下:

1. function safe_replace($string) {
2. $string = str_replace(' ','',$string);
3. $string = str_replace(''','',$string);
4. $string = str_replace(''','',$string);
5. $string = str_replace('*','',$string);
6. $string = str_replace('"','"',$string);
7. $string = str_replace("'",'',$string);
8. $string = str_replace('"','',$string);
9. $string = str_replace(';','',$string);
10. $string = str_replace('<','<',$string);
11. $string = str_replace('>','>',$string);
12. $string = str_replace("{",'',$string);
13. $string = str_replace('}','',$string);
14. return $string;
15. }
16. //更全面的代码如下:
17. //处理提交的数据
18. function htmldecode($str) {
19. if (emptyempty ( $str ) || "" == $str) {
20. return "";
21. }
22. $str = strip_tags ( $str );
23. $str = htmlspecialchars ( $str );
24. $str = nl2br ( $str );
25. $str = str_replace ( "?", "", $str );
26. $str = str_replace ( "*", "", $str );
27. $str = str_replace ( "!", "", $str );
28. $str = str_replace ( "~", "", $str );
29. $str = str_replace ( "$", "", $str );
30. $str = str_replace ( "%", "", $str );
31. $str = str_replace ( "^", "", $str );
32. $str = str_replace ( "^", "", $str );
33. $str = str_replace ( "select", "", $str );
34. $str = str_replace ( "join", "", $str );
35. $str = str_replace ( "union", "", $str );
36. $str = str_replace ( "where", "", $str );
37. $str = str_replace ( "insert", "", $str );
38. $str = str_replace ( "delete", "", $str );
39. $str = str_replace ( "update", "", $str );
40. $str = str_replace ( "like", "", $str );
41. $str = str_replace ( "drop", "", $str );
42. $str = str_replace ( "create", "", $str );
43. $str = str_replace ( "modify", "", $str );
44. $str = str_replace ( "rename", "", $str );
45. $str = str_replace ( "alter", "", $str );
46. $str = str_replace ( "cast", "", $str );
47. $farr = array ("//s+/", //过滤多余的空白
48. "/<(//?)(img|script|i?frame|style|html|body|title|link|meta|/?|/%)([^>]*?)>/isU", //过滤 <script 防止引入恶意内容或恶意代码,如果不需要插入flash等,还可以加入<object的过滤
49. "/(<[^>]*)on[a-zA-Z]+/s*=([^>]*>)/isU" )//过滤javascript的on事件
50. ;
51. $tarr = array (" ", "", //如果要直接清除不安全的标签，这里可以留空
52. "" );
53. return $str;
54. }