[ PHP ] - htmlspecialchars() 防止注入

評等結果

點擊便能為這篇文章進行評等！

[評等總次數: 0，平均評等: 0]

在網站中常有許多的表單欄位，若有心人在這些欄位中輸入了不好的語法，有可能會造成嚴重的資安問題；
這時我們可以在接收 POST/GET 資料時使用 htmlspecialchars() 函式，它的功能就是把一些html的語法轉成純文字輸入，讓內容中的語法不執行。
ex：
表單頁有一個欄位名稱為 name 的輸入框

味丹隨緣鮮蔬百匯/素肉骨茶/素魷魚羹麵/韓式泡菜/麻辣燙湯麵 (5包/袋) 素食全素泡麵

平衡豬獨輪車小豬平衡玩具不倒翁平衡豬

維力素飄香野菜多素排骨雞素紅燒牛肉麻辣燙麻油當歸枸杞蔘湯麵素食泡麵單包

義美e家小館-素食炒飯270g/包

假設輸入的內容為
[javascript]<script>alert("Hello! I am an alert box!");</script>[/javascript]

[php]
$name=htmlspecialchars($_POST[‘name’]);//有加html過慮
echo $name;
[/php]
顯示結果[javascript]<script>alert("Hello! I am an alert box!");</script>[/javascript]
[php]
$name=$_POST[‘name’];//沒加html過慮
echo $name;
[/php]
顯示結果你就會看到有跳出一個窗視