表單提交 防注入XSS 1入庫時轉義、后台 2出庫轉義、前台

第一種 入庫過濾js

自動填充時過濾js代碼
class GoodsModel extends Model
{
    // 填充
    protected $_auto = [
        // 自己補充填充規則
        // 描述中 處理掉script部分
        ['description', 'mkDescription', self::MODEL_BOTH, 'callback'],

        // 僅僅需要在插入維護
        ['created_at', 'time', self::MODEL_INSERT, 'function'],
        // 更新時間, 插入和更新時 都需要更新
        ['updated_at', 'time', self::MODEL_BOTH, 'function'],
    ];
    protected  function mkDescription($value)
    {
        // 匹配 script標記的內容, *?非貪婪, /is, 忽略大小寫+單行模式(萬能點)
        $pattern = '/<script.*?>.*?<\/script>/is';
        $result = preg_replace_callback($pattern, function($match) {
            // $match, 查找的匹配字符串
            // 計算新的替換字符串, 進行替換
            return htmlspecialchars($match[0]);
        }, $value);
        return $result;
    }
}

第二種入庫時轉義,控制器中轉義

1. I('post.name','','htmlspecialchars'); // 采用htmlspecialchars方法對$_POST['name'] 進行過濾，如果不存在則返回空字符串
2. 1. 'DEFAULT_FILTER'        => 'htmlspecialchars'
   也就說，I方法的所有獲取變量都會進行htmlspecialchars過濾，那么：
   1. I('get.name'); // 等同於 htmlspecialchars($_GET['name'])
   同樣，該參數也可以支持多個過濾，例如：
   1. 'DEFAULT_FILTER'        => 'strip_tags,htmlspecialchars'
   1. I('get.name'); // 等同於 htmlspecialchars(strip_tags($_GET['name']))
   如果我們在使用I方法的時候 指定了過濾方法，那么就會忽略DEFAULT_FILTER的設置，例如：
   1. echo I('get.name','','strip_tags'); // 等同於 strip_tags($_GET['name'])
   I方法的第三個參數如果傳入函數名，則表示調用該函數對變量進行過濾並返回（在變量是數組的情況下自動使用array_map進行過濾處理），否則會調用PHP內置的filter_var方法進行過濾處理，例如：
   1. I('post.email','',FILTER_VALIDATE_EMAIL);
   表示 會對$_POST['email'] 進行 格式驗證，如果不符合要求的話，返回空字符串。
   （關於更多的驗證格式，可以參考 官方手冊的filter_var用法。）
   或者可以用下面的字符標識方式：
   1. I('post.email','','email');
   可以支持的過濾名稱必須是filter_list方法中的有效值（不同的服務器環境可能有所不同），可能支持的包括：
   1. int
   2. boolean
   3. float
   4. validate_regexp
   5. validate_url
   6. validate_email
   7. validate_ip
   8. string
   9. stripped
   10. encoded
   11. special_chars
   12. unsafe_raw
   13. email
   14. url
   15. number_int
   16. number_float
   17. magic_quotes
   18. callback
   在有些特殊的情況下，我們不希望進行任何過濾，即使DEFAULT_FILTER已經有所設置，可以使用：
   1. I('get.name','',NULL);
   一旦過濾參數設置為NULL，即表示不再進行任何的過濾。

I()函數編碼;然后文章內容解碼decode后再入庫,這樣
$article=I("post.post");
$article['post_content']=htmlspecialchars_decode($article['post_content']);
$result=$this->posts_model->save($article);


3前台轉義,視圖中顯示數據時轉義

<volist name="rows" id="row">
<tr>
    <td class="text-center">
        <input type="checkbox" name="selected[]" value="{$row['goods_id']}" />
    </td>

                                        <td class="text-left">{$row['name']|htmlspecialchars}</td>
                                        <td class="text-left">{$row['image_thumb']}</td>