PHP编程：第4版

314

｜

第

14

章

安全

这个过滤器只允许字母、空格、连字符和单引号（撇号），并且它用了之前所述的白名

单方式。在这种情况下，白名单是有效字符的列表。

通常情况下，过滤是保证数据完整性的处理过程。尽管很多网页程序的安全缺陷只通过

过滤就可以预防，但还有大部分问题是由于数据转义失败而导致的，两种预防措施不能

互相替代。

转义输出

转义

是保护数据进入另一个上下文的技术。

PHP

常被用作桥接不同的数据源，而且当将

数据发送到远程数据源时，你有义务做好准备以免被错误解释。

例如，在发送到

MySQL

数据库的

SQL

查询语句中时，

O'Reilly

被认为是

O\'Reilly

。

单引号前的反斜杠是为了在

SQL

查询的上下文中保留单引号。这个单引号是数据的一部

分，不是查询的一部分，转义保证了这个解释。

PHP

程序把数据发送到两个主要远程数据源 ：用来解释

HTML

、

Java Script

和其他客

户端技术的

HTTP

客户端（网页浏览器）；解释

SQL

的数据库。

PHP

为前者提供了

htmlentities()

函数 ：

$html = array();

$html['username'] = htmlentities($clean['username'], ENT_QUOTES, 'UTF-8');

echo "<p>Welcome back, {$html['username']}.</p>";

这个示例示范了另一个命名约定。

$html

数组类似

$clean

数组，只不过它的目的是为

HTML

的上下文保存可以安全使用的数据。

URL

有时候会嵌入 ...