学习用PHP创建多页表单

当然,到这里并未结束。毕竟,如果可以在一个页面上建立多个表单,为何不能建立跨多页面的表单呢?

PHP 表单验证

在处理PHP表单时我们需要考虑安全性。

本章节我们将展示PHP表单数据安全处理,为了防止黑客及垃圾信息我们需要对表单进行数据安全验证。

在本章节介绍的HTML表单中包含以下输入字段:
必须与可选文本字段,单选按钮,及提交按钮:

上述表单验证规则如下:

字段 验证规则
Name 必须。 +只能包含字母和空格
E-mail 必须。 + 必须是一个有效的电子邮件地址(包含’@’和’.’)
Website 必须。如果存在,它必须包含一个有效的URL
Comment 必须。 多行输入字段(文本域)
Gender 必须。 必须选择一个

首先让我们先看看纯HTML的表单代码:


不幸的是,用 HTTP从一页面传送数据到另一页面并不轻松。因为在
HTTP协议中没有内建机制以定义系列页面的概念。不过,仅需通过一些灵巧的技巧,以及PHP
某些有用的函数,我们就可以不用花太多力气而突破此限制。在此章节中,关键思想在于把面获取的输入存到面表单的隐含变量中。当我们在屏幕不同页面切换时,代码也在页面间传递信息,每一表单都含有上一个表单的数据。这个方法似乎有点笨拙,不过就目前情况而言是最为简便的方法且无需使用数据库或cookies。

文本字段

name, email, 及 website 字段为文本输入元素, comment
字段是textarea。HTML代码如下所示:

Name: <input type=”text” name=”name”>
E-mail: <input type=”text” name=”email”>
Website: <input type=”text” name=”website”>
Comment: <textarea name=”comment” rows=”5″
cols=”40″></textarea>

 


意料之中的是我们将扩展对变量$state的使用以适应此特性。这正是为什么我们过去学习了关于此技巧的内容,而没有打算使用更为简单的方式处理单一页面中的多个表单。

单选按钮

gender 字段是单选按钮,HTML代码如下所示:

Gender:
<input type=”radio” name=”gender” value=”female”>Female
<input type=”radio” name=”gender” value=”male”>Male

 


为了方便起见,我们将重复使用先前的表单范例。但这次我们将将其拆分为两个页面,而非把有关乳酪的重要问题跟用户名称放在同一页面之上。

表单元素

HTML 表单代码如下所示::

<form method=”post” action=”<?php echo
 htmlspecialchars($_SERVER[“PHP_SELF”]);?>”>

该表单使用 method=”post” 方法来提交数据。

什么是 $_SERVER["PHP_SELF"] 变量?

$_SERVER["PHP_SELF"]是超级全局变量,返回当前正在执行脚本的文件名,与 document root相关。

所以, $_SERVER[“PHP_SELF”]
会发送表单数据到当前页面,而不是跳转到不同的页面。

什么是 htmlspecialchars()方法?

htmlspecialchars() 函数把一些预定义的字符转换为 HTML 实体。

预定义的字符是:

  • & (和号) 成为 &amp;

  • " (双引号) 成为 &quot;

  • ‘ (单引号) 成为 &#039;

  • < (小于) 成为 &lt;

  • > (大于) 成为 &gt;

 


由此会得到三个函数而非两个。此外,对函数略微更名以反映其内容上的改变。display_form()
现已改名为display_name()。

PHP表单中需引起注重的地方?

$_SERVER[“PHP_SELF”] 变量有可能会被黑客使用!

当黑客使用跨网站脚本的HTTP链接来攻击时,$_SERVER[“PHP_SELF”]服务器变量也会被植入脚本。原因就是跨网站脚本是附在执行文件的路径后面的,因此$_SERVER[“PHP_SELF”]的字符串就会包含HTTP链接后面的JavaScript程序代码。

XSS又叫CSS (Cross-Site Script) ,跨站脚本攻击。恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的。

指定以下表单文件名为 “test_form.php”:

<form method=”post” action=”<?php echo
$_SERVER[“PHP_SELF”];?>”>

现在,我们使用URL来指定提交地址”test_form.php”,以上代码修改为如下所示:

<form method=”post” action=”test_form.php”>

这样做就很好了。

但是,考虑到用户会在浏览器地址栏中输入以下地址:

/test_form.php/%22%3E%3Cscript%3Ealert(‘hacked’)%3C/script%3E

以上的 URL 中,将被解析为如下代码并执行:

<form method=”post”
action=”test_form.php/”><script>alert(‘hacked’)</script>

代码中添加了 script
标签,并添加了alert命令。当页面载入时会执行该Javascript代码(用户会看到弹出框)。这仅仅只是一个简单的实例来说明PHP_SELF变量会被黑客利用。

请注意,
任何JavaScript代码可以添加在<script>标签中!黑客可以利用这点重定向页面到另外一台服务器的页面上,页面代码文件中可以保护恶意代码,代码可以修改全局变量或者获取用户的表单数据,实例:


?phpfunction display_name() {global $PHP_SELF;?FORM TARGET=?php echo $PHP_SELF; ? METHOD=GETName: INPUT TYPE=TEXT NAME=nameBRINPUT TYPE=HIDDEN NAME=stage VALUE=cheeseINPUT TYPE=SUBMIT VALUE=Thanks!/FORM?php}?

如何避免 $_SERVER[“PHP_SELF”] 被利用?

$_SERVER[“PHP_SELF”] 可以通过 htmlspecialchars() 函数来避免被利用。

form 代码如下所示:

<form method=”post” action=”<?php echo
htmlspecialchars($_SERVER[“PHP_SELF”]);?>”>

htmlspecialchars() 把一些预定义的字符转换为 HTML
实体。现在如果用户想利用 PHP_SELF 变量, 结果将输出如下所示:

<form method=”post”
action=”test_form.php/"><script>alert(‘hacked’)</script>”>

尝试该漏洞失败!


与先前所介绍的函数相同,但我们先解决下一问题,并把下一stage的名称改为
cheese以更明确地告之用户下一步要做什么。

使用 PHP 验证表单数据

首先我们对用户所有提交的数据都通过 PHP 的 htmlspecialchars() 函数处理。

当我们使用 htmlspecialchars() 函数时,在用户尝试提交以下文本域:

<script>location.href(‘;

– 该代码将不会被执行,因为它会被保存为HTML转义代码,如下所示:

<script>location.href(‘;

以上代码是安全的,可以正常在页面显示或者插入邮件中。

当用户提交表单时,我们将做以下两件事情,:

  1. 使用 PHP trim() 函数去除用户输入数据中不必要的字符
    (如:空格,tab,换行)。

  2. 使用PHP stripslashes()函数去除用户输入数据中的反斜杠 ()

接下来让我们将这些过滤的函数写在一个我们自己定义的函数中,这样可以大大提高代码的复用性。

将函数命名为 test_input()。

现在,我们可以通过test_input()函数来检测 $_POST 中的所有变量,
脚本代码如下所示:

接下来是display_cheese()。

实例

<?php
// 定义变量并默认设置为空值
$name =  $email = $gender = $comment = $website = “”;

if  ($_SERVER[“REQUEST_METHOD”] == “POST”)
{
  $name =  test_input($_POST[“name”]);
  $email = test_input($_POST[“email”]);
    $website = test_input($_POST[“website”]);
  $comment =  test_input($_POST[“comment”]);
  $gender = test_input($_POST[“gender”]);
}
 
function test_input($data)
{
  $data = trim($data);
  $data =  stripslashes($data);
  $data = htmlspecialchars($data);
  return $data;
 }
?>

运行实例
»

注意我们在执行以上脚本时,会通过$_SERVER[“REQUEST_METHOD”]来检测表单是否被提交。如果
REQUEST_METHOD 是 POST, 表单将被提交 –
数据将被验证。如果表单未提交将跳过验证并显示空白。

在以上实例中使用输入项都是可选的,即使用户不输入任何数据也可以正常显示。

在接下来的章节中我们将介绍如何对用户输入的数据进行验证。

?phpfunction display_cheese() { global $PHP_SELF; global $name;?FORM TARGET=?php echo $PHP_SELF; ? METHOD=GETFavorite Cheese: INPUT TYPE=RADIO NAME=cheese VALUE=brieVery soft French Brie INPUT TYPE=RADIO NAME=cheese VALUE=cheddarFarmhouse English Cheddar INPUT TYPE=RADIO NAME=cheese VALUE=mozzarellaItalian Buffalo MozzarellaFavorite Times to Eat Cheese: INPUT TYPE=CHECKBOX NAME=times[] VALUE=mMorning INPUT TYPE=CHECKBOX NAME=times[] VALUE=nNoon INPUT TYPE=CHECKBOX NAME=times[] VALUE=dDinner INPUT TYPE=CHECKBOX NAME=times[] VALUE=lLate nightINPUT TYPE=HIDDEN NAME=name VALUE=?php echo htmlspecialchars($name); ?INPUT TYPE=HIDDEN NAME=stage VALUE=resultsINPUT TYPE=SUBMIT VALUE=Thanks!/FORM?php}?

以上的代码看起来应该非常熟悉。除在输出隐藏的stage元素前先输出上一部分数据中的
$name变量名及值之外,我们没有做任何意料之外的修改。我们并未直接输出变量值,而是通过一个名为htmlspecialchars()的PHP函数。在HTM中,有以下四个字符除被作为标记使用外,在其他地方不应被使用的:、、、以及。因此,为了确保不使浏览器造成混乱,我们通过htmlspecialchars()函数使用$name变量。由此,某个人的名字原为Bret
Jeff就会成为Brett Jeff 了。

现在,当提交此新表单时,不会漏失任何信息。

以上技巧的作用是我们不必更改原process_form()
函数任何部分。事实上,我们还会保持函数名称不变。仅需对页面显示逻辑加上新的一行。

?phpif (empty($stage)) { display_name(); }elseif ($stage == cheese) { display_cheese(); }else { process_form(); }?

看到了吗?我们只需在先前的两个声明中加入elseif。这正是使用变量$stage的巧妙之处。如果我们要再添加几个页面,只需写一个新函数以显示所要的内容,并当其显示时加入一行代码对其进行控制即可。

You can leave a response, or trackback from your own site.

Leave a Reply

网站地图xml地图