本節(jié)和下一節(jié)講解如何使用 PHP 來驗(yàn)證表單數(shù)據(jù)。

創(chuàng)新互聯(lián)公司專注于德州企業(yè)網(wǎng)站建設(shè),響應(yīng)式網(wǎng)站開發(fā),購物商城網(wǎng)站建設(shè)。德州網(wǎng)站建設(shè)公司,為德州等地區(qū)提供建站服務(wù)。全流程按需求定制網(wǎng)站，專業(yè)設(shè)計(jì)，全程項(xiàng)目跟蹤，創(chuàng)新互聯(lián)公司專業(yè)和態(tài)度為您提供的服務(wù)

提示：在處理 PHP 表單時請重視安全性！

這些頁面將展示如何安全地處理 PHP 表單。對 HTML 表單數(shù)據(jù)進(jìn)行適當(dāng)?shù)尿?yàn)證對于防范黑客和垃圾郵件很重要！

我們稍后使用的 HTML 表單包含多種輸入字段：必需和可選的文本字段、單選按鈕以及提交按鈕：

上面的表單使用如下驗(yàn)證規(guī)則：

首先我們看一下這個表單的純 HTML 代碼：

name、email 和 website 屬于文本輸入元素，comment 字段是文本框。HTML 代碼是這樣的：

gender 字段是單選按鈕，HTML 代碼是這樣的：

表單的 HTML 代碼是這樣的：

當(dāng)提交此表單時，通過 method="post" 發(fā)送表單數(shù)據(jù)。

$_SERVER["PHP_SELF"] 是一種超全局變量，它返回當(dāng)前執(zhí)行腳本的文件名。

因此，$_SERVER["PHP_SELF"] 將表單數(shù)據(jù)發(fā)送到頁面本身，而不是跳轉(zhuǎn)到另一張頁面。這樣，用戶就能夠在表單頁面獲得錯誤提示信息。

htmlspecialchars() 函數(shù)把特殊字符轉(zhuǎn)換為 HTML 實(shí)體。這意味著 < 和 > 之類的 HTML 字符會被替換為 &lt; 和 &gt; 。這樣可防止攻擊者通過在表單中注入 HTML 或 JavaScript 代碼（跨站點(diǎn)腳本攻擊）對代碼進(jìn)行利用。

$_SERVER["PHP_SELF"] 變量能夠被黑客利用！

如果您的頁面使用了 PHP_SELF，用戶能夠輸入下劃線然后執(zhí)行跨站點(diǎn)腳本（XSS）。

提示：跨站點(diǎn)腳本（Cross-site scripting，XSS）是一種計(jì)算機(jī)安全漏洞類型，常見于 Web 應(yīng)用程序。XSS 能夠使攻擊者向其他用戶瀏覽的網(wǎng)頁中輸入客戶端腳本。

假設(shè)我們的一張名為 "test_form.php" 的頁面中有如下表單：

現(xiàn)在，如果用戶進(jìn)入的是地址欄中正常的 URL："http://www.example.com/test_form.php"，上面的代碼會轉(zhuǎn)換為：

到目前，一切正常。

不過，如果用戶在地址欄中鍵入了如下 URL：

在這種情況下，上面的代碼會轉(zhuǎn)換為：

這段代碼加入了一段腳本和一個提示命令。并且當(dāng)此頁面加載后，就會執(zhí)行 JavaScript 代碼（用戶會看到一個提示框）。這僅僅是一個關(guān)于 PHP_SELF 變量如何被利用的簡單無害案例。

您應(yīng)該意識到 <script> 標(biāo)簽內(nèi)能夠添加任何 JavaScript 代碼！黑客能夠把用戶重定向到另一臺服務(wù)器上的某個文件，該文件中的惡意代碼能夠更改全局變量或?qū)⒈韱翁峤坏狡渌刂芬员４嬗脩魯?shù)據(jù)，等等。

通過使用 htmlspecialchars() 函數(shù)能夠避免 $_SERVER["PHP_SELF"] 被利用。

表單代碼是這樣的：

htmlspecialchars() 函數(shù)把特殊字符轉(zhuǎn)換為 HTML 實(shí)體?，F(xiàn)在，如果用戶試圖利用 PHP_SELF 變量，會導(dǎo)致如下輸出：

無法利用，沒有危害！

我們要做的第一件事是通過 PHP 的 htmlspecialchars() 函數(shù)傳遞所有變量。

在我們使用 htmlspecialchars() 函數(shù)后，如果用戶試圖在文本字段中提交以下內(nèi)容：

- 代碼不會執(zhí)行，因?yàn)闀槐４鏋檗D(zhuǎn)義代碼，就像這樣：

現(xiàn)在這條代碼顯示在頁面上或 e-mail 中是安全的。

在用戶提交該表單時，我們還要做兩件事：

接下來我們創(chuàng)建一個檢查函數(shù)（相比一遍遍地寫代碼，這樣效率更好）。

我們把函數(shù)命名為 test_input()。

現(xiàn)在，我們能夠通過 test_input() 函數(shù)檢查每個 $_POST 變量，腳本是這樣的：

請注意在腳本開頭，我們檢查了表單是否使用 $_SERVER["REQUEST_METHOD"] 進(jìn)行提交。如果 REQUEST_METHOD 是 POST，那么表單已被提交 - 并且應(yīng)該對其進(jìn)行驗(yàn)證。如果未提交，則跳過驗(yàn)證并顯示一個空白表單。

不過，在上面的例子中，所有輸入字段都是可選的。即使用戶未輸入任何數(shù)據(jù)，腳本也能正常工作。

下一步是制作必填輸入字段，并創(chuàng)建需要時使用的錯誤消息。