php 安全过滤函数代码

当我们在开发 PHP 程序时，应该始终注意安全性，因为 PHP 程序很容易受到 SQL 注入、XSS 攻击等安全漏洞的影响。为了防止这些漏洞的产生，我们可以使用 PHP 提供的安全过滤函数来增强程序的安全性。本文将详细介绍 PHP 安全过滤函数的使用方法和示例。

什么是 PHP 安全过滤函数

PHP 安全过滤函数是一组用于过滤用户输入和输出的函数，可以帮助程序员检测和消除潜在的安全漏洞，从而保证程序的安全。

安全过滤函数可以分为以下几种类型：

• 数据过滤函数：用于过滤用户输入的数据，例如 htmlspecialchars、filter_var 等。
• SQL 注入过滤函数：用于过滤通过 SQL 语句传入的参数，例如 mysqli_real_escape_string、PDO::quote 等。
• 文件包含过滤函数：用于检查外部文件的路径和文件名是否合法，例如 realpath、basename 等。
• XSS 过滤函数：用于防止跨站点脚本攻击，例如 htmlspecialchars、strip_tags 等。

下面我们将分别介绍这些安全过滤函数的用法和示例。

数据过滤函数

htmlspecialchars

htmlspecialchars 函数可以将字符串中的 HTML 标签转义为 HTML 实体。这可以防止恶意用户在表单中输入 HTML、JavaScript 等恶意代码，从而减少 XSS 攻击的风险。

// 将字符串中的 HTML 标签转义为 HTML 实体
$unsafe_string = "<script>alert('hello');</script>";
$safe_string = htmlspecialchars($unsafe_string);
echo $safe_string;  // 输出 &lt;script&gt;alert('hello');&lt;/script&gt;

filter_var

filter_var 函数可以对用户输入的数据进行过滤和验证，例如过滤邮箱地址、URL、IP 地址等常见数据类型。其第一个参数是待过滤的数据，第二个参数是过滤器，第三个参数是可选的选项。如果过滤成功，则返回过滤后的数据，否则返回 false。

// 过滤并验证邮箱地址
$email = "[e-mail]";
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo "邮箱地址正确";
} else {
    echo "邮箱地址错误";
}

SQL 注入过滤函数

mysqli_real_escape_string

mysqli_real_escape_string 函数可以对传入数据库的字符串进行转义，以避免 SQL 注入攻击。它的第一个参数是连接对象，第二个参数是待转义的字符串。

// 连接数据库并执行 SQL 语句
$conn = mysqli_connect("localhost", "username", "password", "mydb");
$username = "admin";
$password = "123456';DROP TABLE users;--";
$sql = "SELECT * FROM users WHERE username='" . mysqli_real_escape_string($conn, $username) .
    "' AND password='" . mysqli_real_escape_string($conn, $password) . "'";
$result = mysqli_query($conn, $sql);

PDO::quote

PDO::quote 函数可以对传入数据库的字符串进行转义，以避免 SQL 注入攻击。它的参数是待转义的字符串。

// 连接数据库并执行 SQL 语句
$pdo = new PDO("mysql:host=localhost;dbname=mydb", "username", "password");
$username = "admin";
$password = "123456';DROP TABLE users;--";
$sql = "SELECT * FROM users WHERE username=" . $pdo->quote($username) .
    " AND password=" . $pdo->quote($password);
$result = $pdo->query($sql);

文件包含过滤函数

realpath

realpath 函数可以返回文件或目录的绝对路径，其会移除连字符以及双点号，从而避免通过包含外部文件的方式执行任意代码。

// 检测文件路径是否合法
$path = "../passwords.txt";
if (realpath($path) === false || strpos(realpath($path), realpath('.')) !== 0) {
    die("非法的文件路径");
}

basename

basename 函数可以返回路径中的文件名部分，并移除其它字符。这可以避免在包含文件时执行任意代码。

// 检测文件名是否合法
$path = "../index.php";
$filename = basename($path);
if ($filename !== "index.php") {
    die("非法的文件名");
}

XSS 过滤函数

htmlspecialchars

htmlspecialchars 函数可以将字符串中的 HTML 标签转义为 HTML 实体。这可以防止恶意用户在表单中输入 HTML、JavaScript 等恶意代码，从而减少 XSS 攻击的风险。

// 将字符串中的 HTML 标签转义为 HTML 实体
$unsafe_string = "<script>alert('hello');</script>";
$safe_string = htmlspecialchars($unsafe_string);
echo $safe_string;  // 输出 &lt;script&gt;alert('hello');&lt;/script&gt;

strip_tags

strip_tags 函数可以过滤字符串中的 HTML 和 PHP 标签，只保留纯文本。这可以减少 XSS 攻击的风险。

// 过滤字符串中的 HTML 和 PHP 标签
$unsafe_string = "<p>Hello, world!</p><script>alert('hello');</script>";
$safe_string = strip_tags($unsafe_string);
echo $safe_string;  // 输出 Hello, world!

通过上述几种安全过滤函数的使用，我们可以大大增强 PHP 程序的安全性，避免受到 SQL 注入、XSS 攻击等漏洞的影响。