通過使用 htmlspecialchars() 函數能夠避免 $_SERVER[“PHP_SELF”] 被利用。
表單代碼是這樣的：
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
htmlspecialchars() 函數把特殊字符轉換為 HTML 實體。現在，如果用戶試圖利用 PHP_SELF 變量，會導致如下輸出：
<form method="post" action="test_form.php/"><script>alert('hacked')</script>">
無法利用，沒有危害！
通過 PHP 驗證表單數據
我們要做的第一件事是通過 PHP 的 htmlspecialchars() 函數傳遞所有變量。
在我們使用 htmlspecialchars() 函數后，如果用戶試圖在文本字段中提交以下內容：
<script>location.href('http://www.hacked.com')</script>
– 代碼不會執行，因為會被保存為轉義代碼，就像這樣：
現在這條代碼顯示在頁面上或 e-mail 中是安全的。
在用戶提交該表單時，我們還要做兩件事：
接下來我們創建一個檢查函數（相比一遍遍地寫代碼，這樣效率更好）。
我們把函數命名為 test_input()。
現在，我們能夠通過 test_input() 函數檢查每個 $_POST 變量，腳本是這樣的：
實例
<?php
// 定義變量并設置為空值
$name = $email = $gender = $comment = $website = "";
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$name = test_input($_POST["name"]);
$email = test_input($_POST["email"]);
$website = test_input($_POST["website"]);
$comment = test_input($_POST["comment"]);
$gender = test_input($_POST["gender"]);
}
function test_input($data) {
$data = trim($data);
$data = stripslashes($data);
$data = htmlspecialchars($data);
return $data;
}
?>
請注意在腳本開頭，我們檢查表單是否使用 $_SERVER[“REQUEST_METHOD”] 進行提交。如果 REQUEST_METHOD 是 POST，那么表單已被提交 – 并且應該對其進行驗證。如果未提交，則跳過驗證并顯示一個空白表單。
不過，在上面的例子中，所有輸入字段都是可選的。即使用戶未輸入任何數據，腳本也能正常工作。
下一步是制作必填輸入字段，并創建需要時使用的錯誤消息。