Untuk memaparkan input pengguna dengan selamat dalam HTML menggunakan PHP, gunakan fungsi htmlspecialchars (). 1. Sentiasa lulus input melalui htmlspecialchars ($ input, ent_quotes, 'UTF-8') untuk menukar aksara khas ke entiti HTML. 2. Sapukan apabila memberikan kandungan yang dihasilkan oleh pengguna seperti penyerahan borang, komen, atau nama pengguna dalam teks badan atau atribut HTML. 3. Jangan gunakannya untuk penyimpanan data atau dalam JavaScript, CSS, atau URL, di mana kaedah melarikan diri alternatif seperti pengekodan JSON atau urlencode () diperlukan. 4. Memastikan penggunaan yang konsisten merentasi semua output untuk mencegah kelemahan XSS, terutamanya dalam konteks berbilang bahasa atau bukan bahasa Inggeris.

Apabila anda ingin memaparkan input pengguna dengan selamat di HTML, htmlspecialchars() adalah fungsi PHP. Ia menukarkan aksara khas ke dalam entiti HTML yang sepadan, menghalang kelemahan XSS (skrip lintas tapak).

Begini cara ia berfungsi dan cara menggunakannya dengan berkesan.

Penggunaan asas htmlspecialchars()

Pada terasnya, htmlspecialchars() mengambil rentetan dan mengembalikan rentetan baru dengan watak -watak tertentu ditukar kepada entiti HTML.

Contohnya:

 $ user_input = "<p> hello <b> dunia </b>! </p>";
$ safe_output = htmlspecialchars ($ user_input, ent_quotes, &#39;utf-8&#39;);
echo $ safe_output;

Ini akan dikeluarkan:

 <p> hello <b> dunia </b>! </p>

Tetapi dalam penyemak imbas, ia akan dipaparkan secara literal sebagai input asal dan bukannya ditafsirkan sebagai HTML sebenar.

Parameter penting:

• Hujah kedua ( ENT_QUOTES ) memberitahu PHP untuk menukar kedua -dua petikan berganda dan tunggal.
• Hujah ketiga ( 'UTF-8' ) menentukan pengekodan aksara-selalu menetapkan ini melainkan jika anda pasti pengekodan data anda.

Bila Menggunakannya

Anda harus menggunakan htmlspecialchars() apabila memaparkan apa-apa jenis kandungan yang dihasilkan oleh pengguna pada halaman web . Ini termasuk penyerahan borang, komen, nama pengguna, dll.

Ia bukan untuk menyimpan data dalam pangkalan data - itulah penyataan yang disediakan. Fungsi ini khusus untuk rendering selamat dalam konteks HTML.

Senario biasa:

• Memaparkan teks yang dikemukakan pengguna di bahagian profil atau komen
• Menunjukkan pertanyaan carian kembali kepada pengguna
• Sebarang situasi di mana data yang tidak dipercayai muncul dalam output HTML

Jangan lupa perkara konteks

htmlspecialchars() sangat bagus untuk melarikan diri kandungan HTML, tetapi tidak semua konteks adalah HTML . Contohnya:

• Jika anda meletakkan data pengguna ke JavaScript atau CSS, anda memerlukan kaedah melarikan diri yang berbeza.
• URL memerlukan htmlspecialchars() ditambah pengendalian tambahan seperti urlencode() jika diperlukan.

Juga, jangan menganggap semua input pengguna berasal dari bentuk - kadang -kadang ia berasal dari API atau sumber luaran yang lain. Sentiasa merawat data yang tidak diketahui sebagai tidak dipercayai.

Senarai Semak Cepat:

• Adakah ini masuk ke dalam teks badan HTML? → Gunakan htmlspecialchars()
• Masuk ke atribut seperti title atau value ? → Masih gunakan htmlspecialchars()
• Di dalam <script> tag? → Tidak, gunakan pengekodan JSON atau lebih baik lagi, elakkannya
• Dalam parameter URL? → Gunakan urlencode() setelah melarikan diri

Pastikan ia konsisten

Satu kesilapan biasa adalah lupa untuk memohon htmlspecialchars() secara konsisten merentas semua output. Malah satu tempat yang ditinggalkan tidak dapat dibuka boleh membuka lubang keselamatan.

Jika anda menggunakan enjin templating atau rangka kerja (seperti Laravel atau Symfony), periksa sama ada mereka sudah mengendalikan melarikan diri secara lalai. Tetapi jika anda menulis PHP mentah, menjadikannya tabiat untuk melarikan diri setiap kali.

Kadang-kadang orang lupa untuk memasukkan bendera ENT_QUOTES atau pengekodan, yang boleh menyebabkan pepijat atau kelemahan dalam kes tertentu-terutamanya apabila berurusan dengan tapak berbilang bahasa atau watak bukan bahasa Inggeris.

Jadi hanya berpegang pada versi penuh:

 htmlspecialchars ($ input, ent_quotes, 'utf-8')

Dengan cara itu, anda meliputi kebanyakan kes kelebihan tanpa kejutan.

Pada asasnya, htmlspecialchars() adalah alat yang mudah tetapi berkuasa. Gunakannya setiap kali memaparkan input pengguna dalam HTML, pilih bendera yang betul, dan jangan lompat sekali sekali.

Atas ialah kandungan terperinci Bagaimana saya menggunakan htmlspecialchars () untuk melarikan diri dari entiti html dalam input pengguna?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!