PHP不会忽略html标签

Question

我有输入框，用户在其中输入了字符串

 "/> <img src=xxx onError=alert('test is here')

但是在我将数据保存到数据库之前使用了strip_tags函数。 它获得了image标签， 但是字符串“ />被保存在数据库中。

我该如何克服。

Answer 1

老实说，不幸的是没有人去解决。

strip_tags函数在格式良好的HTML上效果很好，您的示例无效。

您的选择之一是编写一个自定义代码，根据其性质“清除”输入。 例如，如果输入应收集某人的年龄，则除去所有非数字的内容。 您可以对姓名，电话等执行相同的操作。

当然，作为开发人员，我们无法预见用户可以（故意或不故意）输入的所有可能的废话，有时我们最终会在数据库中得到此类数据。 这就是为什么在将数据打印到HTML中之前转义数据始终是一个好主意的原因。 所有的框架和模板引擎已经为您完成了。 如果您不使用框架，则可以使用htmlentities函数-http : //php.net/manual/en/function.htmlentities.php 。

htmlentities将保存任何HTML保留字符，并且不会破坏您的页面。 例如：

htmlentities("/> <img src=xxx onError=alert('test is here')");

会导致：

/> <img src=xxx onError=alert('test is here')

并通过浏览器呈现后，将如下所示：