来源: 互联网  发布时间: 2013-11-30

你可以在这个页面下载这个文档附带的文件，也可以在文件下载中的字符处理中下载这个文档描述如何安全显示的有格式的用户输入。我们将讨论没有经过过滤的输出的危险，给出一个安全的显示格式化输出的方法。

没有过滤输出的危险

如果你仅仅获得用户的输入然后显示它，你可能会破坏你的输出页面，如一些人能恶意地在他们提交的输入框中嵌入javascript脚本：

This is my comment.
＜script language="javascript:
alert('Do something bad here!')">.

这样，即使用户不是恶意的，也会破坏你的一些HTML的语句，如一个表格突然中断，或是页面显示不完整。


只显示无格式的文本

这是一个最简单的解决方案，你只是将用户提交的信息显示为无格式的文本。使用htmlspecialchars()函数，将转化全部的字符为HTML的编码。

如＜b>将转变为<b>，这可以保证不会有意想不到的HTML标记在不适当的时候输出。
这是一个好的解决方案，如果你的用户只关注没有格式的文本内容。但是，如果你给出一些可以格式化的能力，它将更好一些。
Formatting with Custom Markup Tags
用户自己的标记作格式化

你可以提供特殊的标记给用户使用，例如，你可以允许使用[b]...[/b]加重显示，[i]...[/i]斜体显示，这样做简单的查找替换操作就可以了： $output = str_replace("[b]", "＜b>", $output);
$output = str_replace("[i]", "＜i>", $output);

再作的好一点，我们可以允许用户键入一些链接。例如，用户将允许输入[link="url"]...[/link]，我们将转换为＜a href="">...＜/a>语句

这时，我们不能使用一个简单的查找替换，应该使用正则表达式进行替换：
$output = ereg_replace('\[link="([[:graph:]]+)"\]', '＜a href="\\1">', $output);

ereg_replace()的执行就是：
查找出现[link="..."]的字符串，使用＜a href="/blog_article/index.html"> 替换它
[[:graph:]]的含义是任何非空字符，有关正则表达式请看相关的文章。


在outputlib.php的format_output()函数提供这些标记的转换，总体上的原则是：
调用htmlspecialchars()将HTML标记转换成特殊编码，将不该显示的HTML标记过滤掉，
然后，将一系列我们自定义的标记转换相应的HTML标记。
请参看下面的源代码：
＜?php


function format_output($output) {
/****************************************************************************
* Takes a raw string ($output) and formats it for output using a special
* stripped down markup that is similar to HTML
****************************************************************************/

$output = htmlspecialchars(stripslashes($output));

/* new paragraph */
$output = str_replace('[p]', '＜p>', $output);

/* bold */
$output = str_replace('[b]', '＜b>', $output);
$output = str_replace('[/b]', '＜/b>', $output);

/* italics */
$output = str_replace('[i]', '＜i>', $output);
$output = str_replace('[/i]', '＜/i>', $output);

/* preformatted */
$output = str_replace('[pre]', '＜pre>', $output);
$output = str_replace('[/pre]', '＜/pre>', $output);

/* indented blocks (blockquote) */
$output = str_replace('[indent]', '＜blockquote>', $output);
$output = str_replace('[/indent]', '＜/blockquote>', $output);

/* anchors */
$output = ereg_replace('\[anchor="([[:graph:]]+)"\]', '＜a name="\\1">＜/a>', $output);

/* links, note we try to prevent javascript in links */
$output = str_replace('[link="javascript', '[link=" javascript', $output);
$output = ereg_replace('\[link="([[:graph:]]+)"\]', '＜a href="\\1">', $output);
$output = str_replace('[/link]', '＜/a>', $output);

return nl2br($output);
}

?>

一些注意的地方:

记住替换自定义标记生成HTML标记字符串是在调用htmlspecialchars()函数之后，而不是在这个调用之前，否则你的艰苦的工作在调用htmlspecialchars()后将付之东流。

在经过转换之后，查找HTML代码将是替换过的，如双引号"将成为"

nl2br()函数将回车换行符转换为＜br>标记，也要在htmlspecialchars()之后。

当转换[links=""] 到 ＜a href="">, 你必须确认提交者不会插入javascript脚本，一个简单的方法去更改[link="javascript 到 [link=" javascript, 这种方式将不替换，只是将原本的代码显示出来。

outputlib.php
在浏览器中调用test.php，可以看到format_output() 的使用情况

正常的HTML标记不能被使用,用下列的特殊标记替换它:

- this is [b]bold[/b]
- this is [i]italics[/i]
- this is [link="http://www.phpbuilder.com"]a link[/link]
- this is [anchor="test"]an anchor, and a [link="#test"]link[/link] to the anchor

[p]段落
[pre]预先格式化[/pre]
[indent]交错文本[/indent]

这些只是很少的标记，当然，你可以根据你的需求随意加入更多的标记

Conclusion
结论

这个讨论提供安全显示用户输入的方法，可以使用在下列程序中

留言板
用户建议
系统公告
BBS系统

    

    来源: 互联网  发布时间: 2013-11-30

面向对象编程的概念：

不同的作者之间说法可能不一样，但是一个OOP语言必须有以下几方面：

抽象数据类型和信息封装 

继承 

多态 

在PHP中是通过类来完成封装的： 

<?php 

class Something { 

// 在OOP类中，通常第一个字符为大写 

var $x; 

function setX($v) { 

// 方法开始为小写单词，然后使用大写字母来分隔单词，例如getValueOfArea() 

$this->x=$v; 

} 

function getX() { 

return $this->x; 

} 

} 

当然你可以按自已的喜好进行定义，但最好保持一种标准，这样会更有效。数据成员在类中使用"var"声明来定义，在给数据成员赋值之前，它们是没有类型的。一个数据成员可以是一个整数，一个数组，一个相关数组(associative array)或者是一个对象。方法在类中被定义成函数形式，在方法中访问类成员变量时，你应该使用$this->name，否则对一个方法来说，它只能是局部变量。 

使用new操作符来创建一个对象： 

$obj=new Something; 

然后你可以使用成员函数通过： 

$obj->setX(5); 

$see=$obj->getX(); 

在这个例子中，setX成员函数将5赋值给对象的成员变量x(不是类的)，然后getX返回它的值5。可以象：$obj->x=6那样通过类引用方式来存取数据成员，这不是一个很好的OOP习惯。我强烈建议通过方法来存取成员变量。如果你把成员变量看成是不可处理的，并且只通过对象句柄来使用方法，你将是一个好的OOP程序员。不幸的是，PHP不支持声明私有成员变量，所以不良代码在PHP中也是允许的。继承在PHP中很容易实现，只要使用extend关键字。 

<?php 

class Another extends Something { 

var $y; 

function setY($v) { 

$this->y=$v; 

} 

function getY() { 

return $this->y; 

} 

} 

"Another"类的对象现在拥有了父类(Something)的全部的数据成员及方法，而且还加上了自已的数据成员和方法。

你可以使用

$obj2=new Something;

$obj2->setX(6);

$obj2->setY(7); 

PHP现在还不支持多重继承，所以你不能从两个或两个以上类派生出新的类来。你可以在派生类中重定义一个方法，如果我们在"Another"类中重定义了getX方法，我们就不能使 用"Something"中的getX方法了。如果你在派生类中声明了一个与基派同名的数据成员，那么当你处理它时， 它将“隐藏”基类的数据成员。

你可以在你的类中定义构造函数。构造函数是一个与类名同名的方法，当你创建一个类的对象时会被调用，例如： 

<?php 

class Something { 

var $x; 

function Something($y) { 

$this->x=$y; 

} 

function setX($v) { 

$this->x=$v; 

} 

function getX() { 

return $this->x; 

} 

} 

所以你可以创建一个对象，通过： 

$obj=new Something(6); 

构造函数会自动地把6赋值给数据变量x。构造函数和方法都是普通的PHP函数，所以你可以使用缺省参数。 

function Something($x="3",$y="5") 

接着： 

$obj=new Something(); // x=3 and y=5 

$obj=new Something(8); // x=8 and y=5 

$obj=new Something(8,9); // x=8 and y=9 

缺省参数使用C++的方式，所以你不能忽略Y的值，而给X一个缺省参数，参数是从左到右赋值的，如果传入的参数少于要求的参数时，其作的将使用缺省参数。 

当一个派生类的对象被创建时，只有它的构造函数被调用，父类的构造函数没被调用，如果你想调用基类的构造函数，你必须要在派生类的构造函数中显示调用。可以这样做是因为在派生类中所有父类的方法都是可用的。 

<?php 

function Another() { 

$this->y=5; 

$this->Something(); 

//显示调用基类构造函数 

} 

OOP的一个很好的机制是使用抽象类。抽象类是不能实例化，只能提供给派生类一个接口。设计者通常使用抽象类来强迫程序员从基类派生，这样可以确保新的类包含一些期待的功能。在PHP中没有标准的方法，但是：如果你需要这个特性，可以通过定义基类，并在它的构造函数后加上"die" 的调用，这样就可以保证基类是不可实例化的，现在在每一个方法(接口)后面加上"die" 语句，所以，如果一个程序员在派生类中没有覆盖方法，将引发一个错误。而且因为PHP 是无类型的，你可能需要确认一个对象是来自于你的基类的派生类，那么在基类中增加一个方法来实义类的身份(返回某种标识id)，并且在你接收到一个对象参数时校验这个值。当然，如果一个邪恶不好的程序员在派生类中覆盖了这个方法，这种方法就不起作用了，不过一般问题多发现在懒惰的程序员身上，而不是邪恶的程序员。

当然，能够让基类对程序员无法看到是很好的，只要将接口打印出来做他们的工作就可以了。在PHP中没有析构函数。

重载(与覆盖不同)在PHP中不支持。在OOP中，你可以重载一个方法来实现两个或重多的方法具有相同的名字，但是有不同数量或类型的参数(这要看语言)。PHP 是一种松散类型的语言，所以通过类型重载不起作用，然而通过参数的个数不同来重载也不起作用。 

有时在OOP中重载构造函数非常好，这样你可以通过不同的方法创建对象(传递不同数量的参数)。在PHP中实现它的技巧是： 

<?php 

class Myclass { 

function Myclass() { 

$name="Myclass".func_num_args(); 

$this->$name(); 

//注意$this->name()一般是错误的，但是在这里$name是一个将被调用方法的名字 

} 

function Myclass1($x) { 

code; 

} 

function Myclass2($x,$y) { 

code; 

} 

} 

通过在类中的额外的处理，使用这个类对用户是透明的： 

$obj1=new Myclass('1'); //将调用Myclass1 

$obj2=new Myclass('1','2'); //将调用Myclass2 

有时这个非常好用。

多态 

多态是对象的一种能力，它可以在运行时刻根据传递的对象参数，决定调用哪一个对象的方法。例如，如果你有一个figure的类，它定义了一个draw的方法。并且派生了circle和rectangle 类，在派生类中你覆盖了draw方法，你可能还有一个函数，它希望使用一个参数x，并且可以调用$x->draw() 。如果你有多态性，调用哪个draw方法就依赖于你传递给这个函数的对象类型。 

    

    来源: 互联网  发布时间: 2013-11-30

PHP文本数据库的搜索方法 searchstr=("/".preg_quote($searchstr)."/"); //$searchstr是查找的关键字 $records=file($file);//获取所有的记录数 //$file是查找的数据文件 $search_reocrds=preg_grep ($searchstr, $records);//开始查找记录 //$search_reocrds为查找到的记录数 unset($records); if($search_records){ //开始显示记录，写下你自己的处理程序******************** while (list ($key, $val) = each ( $search_records)) { echo "$val
"; } //**************************************************** }