1、php提交数据过滤的基本原则

1）提交变量进数据库时，我们必须使用addslashes()进行过滤，像我们的注入问题，一个addslashes()也就搞定了。其实在涉及到变量取值时，intval()函数对字符串的过滤也是个不错的选择。

2）在php.ini中开启magic_quotes_gpc和magic_quotes_runtime。magic_quotes_gpc可以把get,post,cookie里的引号变为斜杠。magic_quotes_runtime对于进出数据库的数据可以起到格式话的作用。其实，早在以前注入很疯狂时，这个参数就很流行了。

3）在使用系统函数时，必须使用escapeshellarg(),escapeshellcmd()参数去过滤，这样你也就可以放心的使用系统函数。

4）对于跨站，strip_tags(),htmlspecialchars()两个参数都不错，对于用户提交的的带有html和php的标记都将进行转换。比如尖括号"<"就将转化为 "<"这样无害的字符。

代码如下:

$new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES);

strip_tags($text,);

5）对于相关函数的过滤，就像先前的include(),unlink,fopen()等等，只要你把你所要执行操作的变量指定好或者对相关字符过滤严密，我想这样也就无懈可击了。

2、PHP简单的数据过滤

1）入库:trim($str),addslashes($str)

2）出库:stripslashes($str)

3）显示:htmlspecialchars(nl2br($str))

看下面的例子以便进一步讨论dispatch.php脚本,代码如下:

1. <?php
2. /* 全局安全处理 */
3. switch ($_GET['task'])
4. {
5. case 'print_form':
6. include '/inc/presentation/form.inc';
7. break;
8. case 'process_form':
9. $form_valid = false;
10. include '/inc/logic/process.inc';
11. if ($form_valid)
12. {
13. include '/inc/presentation/end.inc';
14. }
15. else
16. {
17. include '/inc/presentation/form.inc';
18. }
19. break;
20. default:
21. include '/inc/presentation/index.inc';
22. break;
23. }
24. //开源代码phpfensi.com
25. ?>

如果这是唯一的可公开访问到的 PHP 脚本,则可以确信的一点是这个程序的设计可以确保在最开始的全局安全处理无法被绕过。同时也让开发者容易看到特定任务的控制流程。例如，不需要浏览整个代码就可以容易的知道：当$form_valid为true时，end.inc是唯一显示给用户的；由于它在process.inc被包含之前，并刚刚初始化为false，可以确定的是process.inc的内部逻辑会将设置它为true；否则表单将再次显示(可能会显示相关的错误信息).

注意:如果你使用目录定向文件,如index.php(代替dispatch.php),你可以像这样使用 URL 地址:http://phpfensi.com/?task=print_form。

你还可以使用 ApacheForceType重定向或者mod_rewrite来调整 URL 地址：http://example.org/app/print-form。

包含方法

另外一种方式是使用单独一个模块,这个模块负责所有的安全处理,这个模块被包含在所有公开的 PHP 脚本的最前端,或者非常靠前的部分,参考下面的脚本security.inc,代码如下:

1. <?php
2. switch ($_POST['form'])
3. {
4. case 'login':
5. $allowed = array();
6. $allowed[] = 'form';
7. $allowed[] = 'username';
8. $allowed[] = 'password';
9. $sent = array_keys($_POST);
10. if ($allowed == $sent)
11. {
12. include '/inc/logic/process.inc';
13. }
14. break;
15. }
16. ?>

在本例中,每个提交过来的表单都认为应当含有form这个唯一验证值,并且security.inc独立处理表单中0需要过滤的数据,实现这个要求的 HTML 表单如下所示,代码如下:

1. <form action="/receive.php" method="POST">
2. <input type="hidden" name="form" value="login" />
3. <p>Username:
4. <input type="text" name="username" /></p>
5. <p>Password:
6. <input type="password" name="password" /></p>
7. <input type="submit" />
8. </form>

叫做$allowed的数组用来检验哪个表单变量是允许的,这个列表在表单被处理前应当是一致的,流程控制决定要执行什么,而process.inc是真正过滤后的数据到达的地方.

注意:确保security.inc总是被包含在每个脚本的最开始的位置比较好的方法是使用auto_prepend_file设置.

过滤的例子:建立白名单对于数据过滤是非常重要的,由于不可能对每一种可能遇到的表单数据都给出例子,部分例子可以帮助你对此有一个大体的了解.

下面的代码对邮件地址进行了验证,代码如下:

1. <?php
2. $clean = array();
3. $email_pattern = '/^[^@s<&>]+@([-a-z0-9]+.)+[a-z]{2,}$/i';
4. if (preg_match($email_pattern, $_POST['email']))
5. {
6. $clean['email'] = $_POST['email'];
7. }
8. ?>

下面的代码确保了$_POST['color']的内容是red，green,或者blue,代码如下:

1. <?php
2. $clean = array();
3. switch ($_POST['color'])
4. {
5. case 'red':
6. case 'green':
7. case 'blue':
8. $clean['color'] = $_POST['color'];
9. break;
10. }
11. ?>

下面的代码确保$_POST['num']是一个整数(integer),代码如下:

1. <?php
2. $clean = array();
3. if ($_POST['num'] == strval(intval($_POST['num'])))
4. {
5. $clean['num'] = $_POST['num'];
6. }
7. ?>

下面的代码确保$_POST['num']是一个浮点数(float),代码如下:

1. <?php
2. $clean = array();
3. if ($_POST['num'] == strval(floatval($_POST['num'])))
4. {
5. $clean['num'] = $_POST['num'];
6. }
7. ?>

名字转换

之前每个例子都使用了数组$clean,对于开发人员判断数据是否有潜在的威胁这是一个很好的习惯。 永远不要在对数据验证后还将其保存在$_POST或者$_GET中,作为开发人员对超级全局数组中保存的数据总是应当保持充分的怀疑。

需要补充的是，使用$clean可以帮助思考还有什么没有被过滤，这更类似一个白名单的作用。可以提升安全的等级。

如果仅仅将验证过的数据保存在$clean，在数据验证上仅存的风险是你所引用的数组元素不存在，而不是未过滤的危险数据。

时机:一旦 PHP 脚本开始执行，则意味着 HTTP 请求已经全部结束。此时，用户便没有机会向脚本发送数据。因此，没有数据可以被输入到脚本中（甚至register_globals被开启的情况下）。这就是为什么初始化变量是非常好的习惯。

防注入,代码如下:

1. <?PHP
2. //PHP整站防注入程序，需要在公共文件中require_once本文件
3. //判断magic_quotes_gpc状态
4. if (@get_magic_quotes_gpc ()) {
5. $_GET = sec ( $_GET );
6. $_POST = sec ( $_POST );
7. $_COOKIE = sec ( $_COOKIE );
8. $_FILES = sec ( $_FILES );
9. }
10. $_SERVER = sec ( $_SERVER );
11. function sec(&$array) {
12. //如果是数组，遍历数组，递归调用
13. if (is_array ( $array )) {
14. foreach ( $array as $k => $v ) {
15. $array [$k] = sec ( $v );
16. }
17. } else if (is_string ( $array )) {
18. //使用addslashes函数来处理
19. $array = addslashes ( $array );
20. } else if (is_numeric ( $array )) {
21. $array = intval ( $array );
22. }
23. return $array;
24. }
25. //整型过滤函数
26. function num_check($id) {
27. if (! $id) {
28. die ( '参数不能为空！' );
29. } //是否为空的判断
30. else if (inject_check ( $id )) {
31. die ( '非法参数' );
32. } //注入判断
33. else if (! is_numetic ( $id )) {
34. die ( '非法参数' );
35. }
36. //数字判断
37. $id = intval ( $id );
38. //整型化
39. return $id;
40. }
41. //字符过滤函数
42. function str_check($str) {
43. if (inject_check ( $str )) {
44. die ( '非法参数' );
45. }
46. //注入判断
47. $str = htmlspecialchars ( $str );
48. //转换html
49. return $str;
50. }
51. function search_check($str) {
52. $str = str_replace ( "_", "_", $str );
53. //把"_"过滤掉
54. $str = str_replace ( "%", "%", $str );
55. //把"%"过滤掉
56. $str = htmlspecialchars ( $str );
57. //转换html
58. return $str;
59. }
60. //表单过滤函数
61. function post_check($str, $min, $max) {
62. if (isset ( $min ) && strlen ( $str ) < $min) {
63. die ( '最少$min字节' );
64. } else if (isset ( $max ) && strlen ( $str ) > $max) {
65. die ( '最多$max字节' );
66. }
67. return stripslashes_array ( $str );
68. }
69. //防注入函数
70. function inject_check($sql_str) {
71. return eregi ( 'select|inert|update|delete|'|/*|*|../|./|UNION|into|load_file|outfile', $sql_str );
72. // www.phpfensi.com 进行过滤，防注入
73. }
74. function stripslashes_array(&$array) {
75. if (is_array ( $array )) {
76. foreach ( $array as $k => $v ) {
77. $array [$k] = stripslashes_array ( $v );
78. }
79. } else if (is_string ( $array )) {
80. $array = stripslashes ( $array );
81. }
82. return $array;
83. }
84. ?>