php表单验证

当然,到这里并未结束。毕竟,如果可以在一个页面上建立多个表单,为何不能建立跨多页面的表单呢?

 

不幸的是,用 HTTP从一页面传送数据到另一页面并不轻松。因为在
HTTP协议中没有内建机制以定义系列页面的概念。不过,仅需通过一些灵巧的技巧,以及PHP
某些有用的函数,我们就可以不用花太多力气而突破此限制。在此章节中,关键思想在于把面获取的输入存到面表单的隐含变量中。当我们在屏幕不同页面切换时,代码也在页面间传递信息,每一表单都含有上一个表单的数据。这个方法似乎有点笨拙,不过就目前情况而言是最为简便的方法且无需使用数据库或cookies。

 

意料之中的是我们将扩展对变量$state的使用以适应此特性。这正是为什么我们过去学习了关于此技巧的内容,而没有打算使用更为简单的方式处理单一页面中的多个表单。

PHP 表单验证

  在处理PHP表单时我们需要考虑安全性。

本章节我们将展示PHP表单数据安全处理,为了防止黑客及垃圾信息我们需要对表单进行数据安全验证。

在本章节介绍的HTML表单中包含以下输入字段:
必须与可选文本字段,单选按钮,及提交按钮:

上述表单验证规则如下:

字段 验证规则
Name 必须。 +只能包含字母和空格
E-mail 必须。 + 必须是一个有效的电子邮件地址(包含’@’和’.’)
Website 必须。如果存在,它必须包含一个有效的URL
Comment 必须。 多行输入字段(文本域)
Gender 必须。 必须选择一个

首先让我们先看看纯HTML的表单代码:

为了方便起见,我们将重复使用先前的表单范例。但这次我们将将其拆分为两个页面,而非把有关乳酪的重要问题跟用户名称放在同一页面之上。

文本字段

name, email, 及 website 字段为文本输入元素, comment
字段是textarea。HTML代码如下所示:

Name: <input type="text" name="name">
E-mail: <input type="text" name="email">
Website: <input type="text" name="website">
Comment: <textarea name="comment" rows="5" cols="40"></textarea>

  单选按钮:

gender 字段是单选按钮,HTML代码如下所示:

Gender:
<input type="radio" name="gender" value="female">Female
<input type="radio" name="gender" value="male">Male

  

由此会得到三个函数而非两个。此外,对函数略微更名以反映其内容上的改变。display_form()
现已改名为display_name()。

表单元素

HTML 表单代码如下所示::

<form method="post" action="<?php echo  htmlspecialchars($_SERVER["PHP_SELF"]);?>">

  

该表单使用 method=”post” 方法来提交数据。

  什么是 $_SERVER["PHP_SELF"] 变量?

$_SERVER["PHP_SELF"]是超级全局变量,返回当前正在执行脚本的文件名,与 document root相关。

所以, $_SERVER[“PHP_SELF”]
会发送表单数据到当前页面,而不是跳转到不同的页面。

  什么是 htmlspecialchars()方法?

htmlspecialchars() 函数把一些预定义的字符转换为 HTML 实体。

预定义的字符是:

  • & (和号) 成为 &amp;

  • " (双引号) 成为 &quot;

  • ‘ (单引号) 成为 &#039;

  • < (小于) 成为 &lt;

  • > (大于) 成为 &gt;

?phpfunction display_name() {global $PHP_SELF;?FORM TARGET=?php echo $PHP_SELF; ? METHOD=GETName: INPUT TYPE=TEXT NAME=nameBRINPUT TYPE=HIDDEN NAME=stage VALUE=cheeseINPUT TYPE=SUBMIT VALUE=Thanks!/FORM?php}?

PHP表单中需引起注重的地方?

$_SERVER[“PHP_SELF”] 变量有可能会被黑客使用!

当黑客使用跨网站脚本的HTTP链接来攻击时,$_SERVER[“PHP_SELF”]服务器变量也会被植入脚本。原因就是跨网站脚本是附在执行文件的路径后面的,因此$_澳门新葡亰手机版,SERVER[“PHP_SELF”]的字符串就会包含HTTP链接后面的JavaScript程序代码。

  XSS又叫CSS (Cross-Site Script) ,跨站脚本攻击。恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的。

指定以下表单文件名为 “test_form.php”:

<form method="post" action="<?php echo $_SERVER["PHP_SELF"];?>">

  

现在,我们使用URL来指定提交地址”test_form.php”,以上代码修改为如下所示:

<form method="post" action="test_form.php">

  

这样做就很好了。

但是,考虑到用户会在浏览器地址栏中输入以下地址:

/test_form.php/%22%3E%3Cscript%3Ealert(‘hacked’)%3C/script%3E

以上的 URL 中,将被解析为如下代码并执行:

<form method="post" action="test_form.php/"><script>alert('hacked')</script>

  

代码中添加了 script
标签,并添加了alert命令。当页面载入时会执行该Javascript代码(用户会看到弹出框)。这仅仅只是一个简单的实例来说明PHP_SELF变量会被黑客利用。

请注意,
任何JavaScript代码可以添加在<script>标签中!黑客可以利用这点重定向页面到另外一台服务器的页面上,页面代码文件中可以保护恶意代码,代码可以修改全局变量或者获取用户的表单数据,实例:

与先前所介绍的函数相同,但我们先解决下一问题,并把下一stage的名称改为
cheese以更明确地告之用户下一步要做什么。

如何避免 $_SERVER[“PHP_SELF”] 被利用?

$_SERVER[“PHP_SELF”] 可以通过 htmlspecialchars() 函数来避免被利用。

form 代码如下所示:

<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">

  

htmlspecialchars() 把一些预定义的字符转换为 HTML
实体。现在如果用户想利用 PHP_SELF 变量, 结果将输出如下所示:

<form method="post" action="test_form.php/"><script>alert('hacked')</script>">

  

尝试该漏洞失败!