XOOPS輕鬆架 - 線上書籍

:::

PHP8入門
======

### 一、避免攻擊

1. 請在標題輸入框分別輸入底下內容試試（XSS攻擊），若是無法順利寫入，那就是有問題： 
    ```markup
    <img src="https://www.fairworkcenter.org/wp-content/uploads/2018/04/hacked-skull.jpg">
    
    ```
    
     或 
    ```markup
    <script>alert('這就是XSS攻擊')</script>
    ```
2. 當我們將讀出資料，就會出現被攻擊訊息![](https://campus-xoops.tn.edu.tw/uploads/tad_book3/image/52/brave_Mp79GM5p8t.png)
3. 是否有方法可以避免之？有的，就是讀出變數需要過濾。
4. 讀出的資料，要先考量該變數（或欄位）是否允許使用HTML 
    - 若是允許使用HTML（例如文章內容），那可能要用專業的工具來做，如：<http://htmlpurifier.org/>
    - 若是不允許使用HTML（例如標題），可以直接使用內建的 [htmlspecialchars($string)](http://php.net/manual/en/function.htmlspecialchars.php) 來過濾
5. 但內建的 [htmlspecialchars($string)](http://php.net/manual/en/function.htmlspecialchars.php) 預設只轉化雙引號，不對單引號做轉義，所以，這樣用`htmlspecialchars($string,ENT_QUOTES)` 更好： 
    ```php
    echo "<li>" . htmlspecialchars($row['title'], ENT_QUOTES) . "</li>";
    ```
    
    另一個和 `htmlspecialchars `很像的 [htmlentities](http://php.net/htmlentities) 函數並不適用中文，因為會連同中文字一起轉義。
 
### 二、過濾數字

1. 一般過濾數字用 `(int) $xxx` 或 `intval($xxx)`即可，會強制把輸入的內容變成數字。 
    ```php
    $num = "123其他文字456";
    echo (int) $num . "<br>";
    echo intval($num) . "<br>";
    
    ```
2. 用 `(int) $xxx` 或 `intval($xxx)`會得到 123，但用`filter_var()` 會得到 123456
 
### 三、將所有讀出的變數進行過濾

1. 例如： 
    ```php
    foreach ($news as $row) {
        echo (int) $row['id'] . "<br>";
        echo htmlspecialchars($row['title']) . "<br>";
        echo htmlspecialchars($row['author']) . "<br>";
        echo htmlspecialchars($news['date']) . "<br>";
        echo (int) $row['counter'] . "<br>";
        echo htmlspecialchars($row['content']) . "<br>";
        echo htmlspecialchars($row['category']) . "<br>";
    }
    ```
2. 這樣有點太辛苦，萬一日後欄位有異動，還得手動加，所以，我們利用 `array_map()` 來自動進行處理：
    
     
    ```php
    foreach ($news as $row) {
        // 在過濾每一筆資料
        $row = array_map('htmlspecialchars', $row);
        echo "<li>{$row['title']}</li>";
    }
    
    ```
3. 如此，就可以看到一些 XSS 攻擊被擋掉了，只出現語法：![](https://campus-xoops.tn.edu.tw/uploads/tad_book3/image/52/brave_2sQvyWPR0B.png)

:::