一、表單簡介

表單（Form）在網頁中主要負責資料采集功能，

一個表單有三個基本組成部分：

表單標簽：這里面包含了處理表單資料所用CGI（公共網關介面）程式的URL以及資料提交到服務器的方法，

表單域：包含了文本框、密碼框、隱藏域、多行文本框、復選框、單選框、下拉選擇框和檔案上傳框等，

表單按鈕：包括提交按鈕、復位按鈕和一般按鈕；用于將資料傳送到服務器上的CGI腳本或者取消輸入，還可以用表單按鈕來控制其他定義了處理腳本的處理作業，

二、表單驗證實體

<!DOCTYPE HTML>
<html>
<head>
    <meta charset="utf-8">
    <title>表單驗證實體（資訊收集）</title>
    <style>
    .error {color: #FF0000;}
    </style>
</head>
<body>

<?php
// 定義變數并默認設定為空值
$nameErr = $emailErr = $genderErr = $websiteErr = "";
$name = $email = $gender = $comment = $website = "";

if ($_SERVER["REQUEST_METHOD"] == "POST") // 檢測表單是否被提交，如未提交將跳過驗證并顯示空白
{
    if (empty($_POST["name"])) // 使用empty()函式檢測如為空，將顯示對應的錯誤資訊
    {
        $nameErr = "名字是必需的";
    }
    else
    {
        $name = test_input($_POST["name"]);
        // 檢測名字是否只包含大小寫字母跟空格，preg_match進行正則運算式匹配
        if (!preg_match("/^[a-zA-Z ]*$/",$name))
        {
            $nameErr = "只允許大小寫字母和空格";
        }
    }

    if (empty($_POST["email"]))
    {
        $emailErr = "郵箱是必需的";
    }
    else
    {
        $email = test_input($_POST["email"]);
        // 檢測郵箱是否合法（包含'@'和'.'）
        if (!preg_match("/([\w\-]+\@[\w\-]+\.[\w\-]+)/",$email))
        {
            $emailErr = "非法郵箱格式";
        }
    }

    if (empty($_POST["website"]))
    {
        $website = "";
    }
    else
    {
        $website = test_input($_POST["website"]);
        // 檢測 URL 地址是否合法
        if (!preg_match("/\b(?:(?:https?|ftp):\/\/|www\.)[-a-z0-9+&@#\/%?=~_|!:,.;]*[-a-z0-9+&@#\/%=~_|]/i",$website))
        {
            $websiteErr = "非法URL地址";
        }
    }

    if (empty($_POST["comment"]))
    {
        $comment = "";
    }
    else
    {
        $comment = test_input($_POST["comment"]);
    }

    if (empty($_POST["gender"]))
    {
        $genderErr = "性別是必需的";
    }
    else
    {
        $gender = test_input($_POST["gender"]);
    }
}

function test_input($data) // 將過濾函式寫在自定義函式test_input()中，以提高代碼的復用性
{
    $data = trim($data); // 去除輸入資料中不必要的字符（如：空格，tab，換行），
    $data = stripslashes($data); // 去除輸入資料中的反斜杠 (\)
    $data = htmlspecialchars($data);
    return $data;
}
?>

<h2>PHP 表單驗證實體</h2>
<p><span class="error">* 必需欄位，</span></p>
<!--
該表單使用 method="post" 方法來提交資料，
$_SERVER["PHP_SELF"]是超級全域變數，回傳當前正在執行腳本的檔案名，會發送表單資料到當前頁面，而不是跳轉到不同的頁面，
htmlspecialchars() 函式把一些預定義的字符轉換為 HTML 物體，
預定義的字符是：
& （和號） 成為 &amp;
" （雙引號） 成為 &quot;
' （單引號） 成為 &#039;
< （小于） 成為 &lt;
> （大于） 成為 &gt;
-->
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
    <!--"名字"、"E-mail"、"網址"欄位為文本輸入元素，"備注"欄位是 textarea（標簽定義多行的文本輸入控制元件）-->
    名字: <input type="text" name="name" value="<?php echo $name;?>">
    <span class="error">* <?php echo $nameErr;?></span>
    <br><br>
    E-mail: <input type="text" name="email" value="<?php echo $email;?>">
    <span class="error">* <?php echo $emailErr;?></span>
    <br><br>
    網址: <input type="text" name="website" value="<?php echo $website;?>">
    <span class="error"><?php echo $websiteErr;?></span>
    <br><br>
    備注: <textarea name="comment" rows="5" cols="40"><?php echo $comment;?></textarea>
    <br><br>
    <!--"性別"欄位是單選按鈕-->
    性別:
    <input type="radio" name="gender" <?php if (isset($gender) && $gender=="female") echo "checked";?>  value="female">女
    <input type="radio" name="gender" <?php if (isset($gender) && $gender=="male") echo "checked";?>  value="male">男
    <span class="error">* <?php echo $genderErr;?></span>
    <br><br>
    <input type="submit" name="submit" value="Submit">
</form>

<?php
echo "<h2>您輸入的內容是:</h2>";
echo $name;
echo "<br>";
echo $email;
echo "<br>";
echo $website;
echo "<br>";
echo $comment;
echo "<br>";
echo $gender;
?>

</body>
</html>

在這里插入圖片描述

三、$_SERVER[“PHP_SELF”] 變數的跨站腳本利用與避免

當黑客使用跨網站腳本的HTTP鏈接來攻擊時，$_SERVER["PHP_SELF"]服務器變數也會被植入腳本，
因為跨網站腳本附在執行檔案的路徑后面，$_SERVER["PHP_SELF"]的字串會包含HTTP鏈接后面的JavaScript程式代碼，

任何JavaScript代碼可以添加在<script>標簽中！

黑客可以利用這點重定向頁面到另外一臺服務器的頁面上，用惡意代碼修改全域變數或者獲取用戶的表單資料，

例如要指定以下表單檔案名為 “test_form.php”：

<form method="post" action="<?php echo $_SERVER["PHP_SELF"];?>">

如使用URL來指定提交地址 “test_form.php”，將以上代碼修改為：

<form method="post" action="test_form.php">

黑客在瀏覽器地址欄中輸入：

http://www.xxx.com/test_form.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E

以上的 URL 中，將被決議為如下代碼并執行：

<form method="post" action="test_form.php/"><script>alert('hacked')</script>

代碼中添加了 script 標簽，并添加了alert命令，當頁面載入時會執行該Javascript代碼（用戶會看到彈出框），

$_SERVER["PHP_SELF"] 可以通過 htmlspecialchars() 函式來避免被利用：

<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">

htmlspecialchars() 把一些預定義的字符轉換為 HTML 物體，如想利用 PHP_SELF 變數，嘗試該漏洞將失敗！結果將輸出：

<form method="post" action="test_form.php/&quot;&gt;&lt;script&gt;alert('hacked')&lt;/script&gt;">

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/395024.html

標籤：其他

上一篇：初識Pytorch使用transforms

下一篇：常見系統安全漏洞及解決方案

PHP表單驗證及安全

文章目錄

一、表單簡介

二、表單驗證實體

三、$_SERVER[“PHP_SELF”] 變數的跨站腳本利用與避免