您好,登錄后才能下訂單哦!
如何在PHP項(xiàng)目中實(shí)現(xiàn)一個(gè)表單驗(yàn)證功能?相信很多沒(méi)有經(jīng)驗(yàn)的人對(duì)此束手無(wú)策,為此本文總結(jié)了問(wèn)題出現(xiàn)的原因和解決方法,通過(guò)這篇文章希望你能解決這個(gè)問(wèn)題。
PHP 表單驗(yàn)證
提示:在處理 PHP 表單時(shí)請(qǐng)重視安全性!
這些頁(yè)面將展示如何安全地處理 PHP 表單。對(duì) HTML 表單數(shù)據(jù)進(jìn)行適當(dāng)?shù)尿?yàn)證對(duì)于防范黑客和垃圾郵件很重要!
我們稍后使用的 HTML 表單包含多種輸入字段:必需和可選的文本字段、單選按鈕以及提交按鈕:
上面的表單使用如下驗(yàn)證規(guī)則:
字段 | 驗(yàn)證規(guī)則 |
---|---|
Name | 必需。必須包含字母和空格。 |
必需。必須包含有效的電子郵件地址(包含 @ 和 .)。 | |
Website | 可選。如果選填,則必須包含有效的 URL。 |
Comment | 可選。多行輸入字段(文本框)。 |
Gender | 必需。必須選擇一項(xiàng)。 |
首先我們看一下這個(gè)表單的純 HTML 代碼:
文本字段
name、email 和 website 屬于文本輸入元素,comment 字段是文本框。HTML 代碼是這樣的:
Name: <input type="text" name="name"> E-mail: <input type="text" name="email"> Website: <input type="text" name="website"> Comment: <textarea name="comment" rows="5" cols="40"></textarea>
單選按鈕
gender 字段是單選按鈕,HTML 代碼是這樣的:
Gender: <input type="radio" name="gender" value="female">Female <input type="radio" name="gender" value="male">Male
表單元素
表單的 HTML 代碼是這樣的:
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
當(dāng)提交此表單時(shí),通過(guò) method="post" 發(fā)送表單數(shù)據(jù)。
什么是 $_SERVER["PHP_SELF"] 變量?
$_SERVER["PHP_SELF"] 是一種超全局變量,它返回當(dāng)前執(zhí)行腳本的文件名。
因此,$_SERVER["PHP_SELF"] 將表單數(shù)據(jù)發(fā)送到頁(yè)面本身,而不是跳轉(zhuǎn)到另一張頁(yè)面。這樣,用戶就能夠在表單頁(yè)面獲得錯(cuò)誤提示信息。
什么是 htmlspecialchars() 函數(shù)?
htmlspecialchars() 函數(shù)把特殊字符轉(zhuǎn)換為 HTML 實(shí)體。這意味著 < 和 > 之類的 HTML 字符會(huì)被替換為 < 和 > 。這樣可防止攻擊者通過(guò)在表單中注入 HTML 或 JavaScript 代碼(跨站點(diǎn)腳本攻擊)對(duì)代碼進(jìn)行利用。
關(guān)于 PHP 表單安全性的重要提示
$_SERVER["PHP_SELF"] 變量能夠被黑客利用!
如果您的頁(yè)面使用了 PHP_SELF,用戶能夠輸入下劃線然后執(zhí)行跨站點(diǎn)腳本(XSS)。
提示:跨站點(diǎn)腳本(Cross-site scripting,XSS)是一種計(jì)算機(jī)安全漏洞類型,常見(jiàn)于 Web 應(yīng)用程序。XSS 能夠使攻擊者向其他用戶瀏覽的網(wǎng)頁(yè)中輸入客戶端腳本。
假設(shè)我們的一張名為 "test_form.php" 的頁(yè)面中有如下表單:
<form method="post" action="<?php echo $_SERVER["PHP_SELF"];?>">
現(xiàn)在,如果用戶進(jìn)入的是地址欄中正常的 URL:"http://www.example.com/test_form.php",上面的代碼會(huì)轉(zhuǎn)換為:
<form method="post" action="test_form.php">
到目前,一切正常。
不過(guò),如果用戶在地址欄中鍵入了如下 URL:
http://www.example.com/test_form.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E
在這種情況下,上面的代碼會(huì)轉(zhuǎn)換為:
<form method="post" action="test_form.php"/><script>alert('hacked')</script>
這段代碼加入了一段腳本和一個(gè)提示命令。并且當(dāng)此頁(yè)面加載后,就會(huì)執(zhí)行 JavaScript 代碼(用戶會(huì)看到一個(gè)提示框)。這僅僅是一個(gè)關(guān)于 PHP_SELF 變量如何被利用的簡(jiǎn)單無(wú)害案例。
您應(yīng)該意識(shí)到 <script> 標(biāo)簽內(nèi)能夠添加任何 JavaScript 代碼!黑客能夠把用戶重定向到另一臺(tái)服務(wù)器上的某個(gè)文件,該文件中的惡意代碼能夠更改全局變量或?qū)⒈韱翁峤坏狡渌刂芬员4嬗脩魯?shù)據(jù),等等。
如果避免 $_SERVER["PHP_SELF"] 被利用?
通過(guò)使用 htmlspecialchars() 函數(shù)能夠避免 $_SERVER["PHP_SELF"] 被利用。
表單代碼是這樣的:
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
htmlspecialchars() 函數(shù)把特殊字符轉(zhuǎn)換為 HTML 實(shí)體?,F(xiàn)在,如果用戶試圖利用 PHP_SELF 變量,會(huì)導(dǎo)致如下輸出:
<form method="post" action="test_form.php/"><script>alert('hacked')</script>">
無(wú)法利用,沒(méi)有危害!
通過(guò) PHP 驗(yàn)證表單數(shù)據(jù)
我們要做的第一件事是通過(guò) PHP 的 htmlspecialchars() 函數(shù)傳遞所有變量。
在我們使用 htmlspecialchars() 函數(shù)后,如果用戶試圖在文本字段中提交以下內(nèi)容:
<script>location.href('http://www.hacked.com')</script>
- 代碼不會(huì)執(zhí)行,因?yàn)闀?huì)被保存為轉(zhuǎn)義代碼,就像這樣:
現(xiàn)在這條代碼顯示在頁(yè)面上或 e-mail 中是安全的。
在用戶提交該表單時(shí),我們還要做兩件事:
(通過(guò) PHP trim() 函數(shù))去除用戶輸入數(shù)據(jù)中不必要的字符(多余的空格、制表符、換行)
(通過(guò) PHP stripslashes() 函數(shù))刪除用戶輸入數(shù)據(jù)中的反斜杠(\)
接下來(lái)我們創(chuàng)建一個(gè)檢查函數(shù)(相比一遍遍地寫(xiě)代碼,這樣效率更好)。
我們把函數(shù)命名為 test_input()。
現(xiàn)在,我們能夠通過(guò) test_input() 函數(shù)檢查每個(gè) $_POST 變量,腳本是這樣的:
實(shí)例
<?php // 定義變量并設(shè)置為空值 $name = $email = $gender = $comment = $website = ""; if ($_SERVER["REQUEST_METHOD"] == "POST") { $name = test_input($_POST["name"]); $email = test_input($_POST["email"]); $website = test_input($_POST["website"]); $comment = test_input($_POST["comment"]); $gender = test_input($_POST["gender"]); } function test_input($data) { $data = trim($data); $data = stripslashes($data); $data = htmlspecialchars($data); return $data; } ?>
請(qǐng)注意在腳本開(kāi)頭,我們檢查表單是否使用 $_SERVER["REQUEST_METHOD"] 進(jìn)行提交。如果 REQUEST_METHOD 是 POST,那么表單已被提交 - 并且應(yīng)該對(duì)其進(jìn)行驗(yàn)證。如果未提交,則跳過(guò)驗(yàn)證并顯示一個(gè)空白表單。
不過(guò),在上面的例子中,所有輸入字段都是可選的。即使用戶未輸入任何數(shù)據(jù),腳本也能正常工作。
看完上述內(nèi)容,你們掌握如何在PHP項(xiàng)目中實(shí)現(xiàn)一個(gè)表單驗(yàn)證功能的方法了嗎?如果還想學(xué)到更多技能或想了解更多相關(guān)內(nèi)容,歡迎關(guān)注億速云行業(yè)資訊頻道,感謝各位的閱讀!
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng),如果涉及侵權(quán)請(qǐng)聯(lián)系站長(zhǎng)郵箱:is@yisu.com進(jìn)行舉報(bào),并提供相關(guān)證據(jù),一經(jīng)查實(shí),將立刻刪除涉嫌侵權(quán)內(nèi)容。