PHP 文件搜索：输入验证与敏感查询排除策略

<?php
$isOk = true;
$excludes = ['.', '..', '.htaccess', 'index']; // 定义精确排除列表

if (in_array($_POST['field1'], $excludes, true)) {
    $isOk = false; // 如果用户输入精确匹配到排除列表中的任一项，则标记为不通过
    echo "<p><h3>您不能搜索此关键词！</h3></p>";
}

// 后续代码只有当 $isOk 为 true 时才会执行
if ($isOk) {
    // 执行文件搜索逻辑
}
?>

<?php
$isOk = true;
$excludes_partial = ['.', '..', '/', '\']; // 定义包含敏感字符的排除列表

foreach ($excludes_partial as $exclude_char) {
    if (str_contains($_POST['field1'], $exclude_char)) {
        $isOk = false; // 如果用户输入包含任何敏感字符，则标记为不通过
        echo "<p><h3>您的搜索词包含不允许的字符！</h3></p>";
        break; // 找到一个即停止循环
    }
}

// 后续代码只有当 $isOk 为 true 时才会执行
if ($isOk) {
    // 执行文件搜索逻辑
}
?>

<?php
$isOk = true;
$excludes_partial = ['.', '..', '/', '\'];

foreach ($excludes_partial as $exclude_char) {
    if (strpos($_POST['field1'], $exclude_char) !== false) {
        $isOk = false;
        echo "<p><h3>您的搜索词包含不允许的字符！</h3></p>";
        break;
    }
}
?>

<?php
$dir = "data/pages/"; // 定义文件目录
$excludes_exact = ['.', '..', '.htaccess', 'index']; // 精确排除列表
$excludes_partial = ['/', '\']; // 包含敏感字符的排除列表，可根据需要扩展

$isOk = true; // 初始标记为合法

// 1. 检查是否提交了表单
if (array_key_exists('submit', $_POST)) {
    // 2. 检查搜索字段是否为空
    if (empty($_POST['field1'])) {
        echo "<p><h3>请填写搜索内容！</h3></p>";
        $isOk = false;
    }

    // 3. 执行精确匹配排除检查
    if ($isOk && in_array($_POST['field1'], $excludes_exact, true)) {
        echo "<p><h3>您不能搜索此关键词！</h3></p>";
        $isOk = false;
    }

    // 4. 执行包含敏感字符排除检查 (如果 $isOk 仍然为 true)
    if ($isOk) {
        foreach ($excludes_partial as $exclude_char) {
            if (str_contains($_POST['field1'], $exclude_char)) { // PHP 7.4 及以下使用 strpos
                echo "<p><h3>您的搜索词包含不允许的字符！</h3></p>";
                $isOk = false;
                break;
            }
        }
    }

    // 5. 如果所有验证通过，则执行文件搜索逻辑
    if ($isOk) {
        if (is_dir($dir)) {
            if ($dh = opendir($dir)) {
                echo "<p><h3>&darr;搜索结果&darr;</h3></p>";
                while (($file = readdir($dh)) !== false) {
                    $filename = pathinfo($file, PATHINFO_FILENAME);
                    // 注意：这里的 $excludes_exact 数组也可以用于在结果中排除某些文件，
                    // 但本教程主要关注输入验证。原始代码中有一个 in_array($file, $exclude) 检查，
                    // 这里可以根据实际需求保留或调整。
                    if (preg_match("/{$_POST['field1']}/i", $filename) && !in_array($file, $excludes_exact)) {
                        echo "<p>找到: <b><a href="https://mywebsite.wtf/data/pages/" . htmlspecialchars($file) . "">" . htmlspecialchars($filename) . "</a></b></p>";
                    }
                }
                closedir($dh);
            } else {
                echo "<p><h3>无法打开目录。</h3></p>";
            }
        } else {
            echo "<p><h3>指定目录不存在。</h3></p>";
        }
    }
}
?>