编辑“︁PHP输出过滤”︁

= PHP输出过滤 =

'''PHP输出过滤'''（Output Filtering）是指对即将输出到浏览器或其他目标的数据进行处理，以防止[[跨站脚本攻击|XSS]]（Cross-Site Scripting）、[[代码注入]]等安全威胁。在PHP中，输出过滤是安全编程的核心环节之一，确保用户输入或动态生成的内容不会破坏页面结构或执行恶意脚本。

== 为什么需要输出过滤？ ==
PHP是一种动态语言，常用于生成HTML、JSON、XML等格式的输出。如果未对输出数据进行适当的过滤或转义，攻击者可能通过提交恶意数据（如JavaScript代码或HTML标签）来篡改页面内容，甚至窃取用户信息。例如：

* '''XSS攻击'''：恶意用户提交`<script>alert('XSS');</script>`，如果未过滤直接输出，脚本将在其他用户的浏览器中执行。
* '''HTML注入'''：攻击者插入非法HTML标签，破坏页面布局或重定向用户。

== 基本输出过滤方法 ==

=== 1. 使用`htmlspecialchars()`转义HTML ===
`htmlspecialchars()`函数将特殊字符转换为HTML实体，防止浏览器将其解析为HTML标签。

<syntaxhighlight lang="php">
<?php
$user_input = '<script>alert("XSS");</script>';
$filtered_output = htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
echo $filtered_output;
?>
</syntaxhighlight>

'''输出结果'''：
<pre>
&lt;script&gt;alert(&quot;XSS&quot;);&lt;/script&gt;
</pre>

* '''参数说明'''：
  * `ENT_QUOTES`：转义单引号和双引号。
  * `UTF-8`：指定字符编码，避免编码绕过问题。

=== 2. 使用`strip_tags()`移除HTML标签 ===
`strip_tags()`函数移除字符串中的所有HTML和PHP标签，仅保留纯文本。

<syntaxhighlight lang="php">
<?php
$user_input = '<b>Hello</b><script>alert("XSS");</script>';
$filtered_output = strip_tags($user_input);
echo $filtered_output;
?>
</syntaxhighlight>

'''输出结果'''：
<pre>
Hello
</pre>

* '''注意'''：可通过第二个参数允许特定标签（如`<b><i>`）。

=== 3. 输出JSON时的过滤 ===
使用`json_encode()`时，确保数据已正确转义：

<syntaxhighlight lang="php">
<?php
$data = ['name' => 'John<script>', 'age' => 25];
$json_output = json_encode($data, JSON_HEX_TAG | JSON_HEX_APOS | JSON_HEX_QUOT);
echo $json_output;
?>
</syntaxhighlight>

'''输出结果'''：
<pre>
{"name":"John\u003Cscript\u003E","age":25}
</pre>

== 高级输出过滤技术 ==

=== 上下文感知过滤 ===
根据输出目标（HTML、URL、CSS等）选择不同的过滤方式：

{| class="wikitable"
|+ 上下文敏感的过滤方法
! 输出上下文 !! 过滤函数 !! 示例
|-
| HTML内容 || `htmlspecialchars()` || `<div><?= htmlspecialchars($var) ?></div>`
|-
| HTML属性 || `htmlspecialchars()`（属性用双引号包裹） || `<input value="<?= htmlspecialchars($var) ?>">`
|-
| JavaScript || `json_encode()` || `<script>var data = <?= json_encode($var) ?>;</script>`
|-
| URL参数 || `urlencode()` || `<a href="/search?q=<?= urlencode($query) ?>">`
|}

=== 使用内容安全策略（CSP） ===
通过HTTP头`Content-Security-Policy`限制脚本和资源的加载源，减少XSS风险：

<syntaxhighlight lang="php">
<?php
header("Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'");
?>
</syntaxhighlight>

== 实际案例 ==

=== 案例1：用户评论系统 ===
用户提交的评论需显示在页面上，但需过滤恶意内容：

<syntaxhighlight lang="php">
<?php
// 假设从数据库获取评论
$comment = '<script>stealCookie();</script> Nice post!';
$safe_comment = htmlspecialchars($comment, ENT_QUOTES, 'UTF-8');
echo "<div class='comment'>$safe_comment</div>";
?>
</syntaxhighlight>

'''输出结果'''：
<div class='comment'>&lt;script&gt;stealCookie();&lt;/script&gt; Nice post!</div>

=== 案例2：动态生成JavaScript ===
将PHP变量嵌入JavaScript时，使用`json_encode()`：

<syntaxhighlight lang="php">
<?php
$user_data = ['name' => 'Alice', 'id' => '123"}; // 注意引号问题
?>
<script>
var user = <?= json_encode($user_data, JSON_HEX_APOS) ?>;
</script>
</syntaxhighlight>

'''输出结果'''：
<pre>
<script>
var user = {"name":"Alice","id":"123\u0022"};
</script>
</pre>

== 常见错误与解决方案 ==

{| class="wikitable"
|+ 错误与修正对比
! 错误示例 !! 问题 !! 修正方案
|-
| `<div><?= $user_input ?></div>` || 未过滤XSS || `<div><?= htmlspecialchars($user_input) ?></div>`
|-
| `<a href="<?= $url ?>">` || URL注入 || `<a href="<?= htmlspecialchars(urlencode($url)) ?>">`
|-
| `<script>var x = "<?= $var ?>";</script>` || JS注入 || `<script>var x = <?= json_encode($var) ?>;</script>`
|}

== 总结 ==
PHP输出过滤是防御XSS和注入攻击的关键步骤。核心原则包括：
* '''始终过滤输出'''，而非仅依赖输入验证。
* '''根据输出上下文'''选择正确的过滤函数（如HTML、JS、URL）。
* '''结合CSP等现代安全机制'''增强防护。

通过实践上述方法，可显著提升PHP应用的安全性。

[[Category:编程语言]]
[[Category:PHP]]
[[Category:PHP安全编程]]