php防注入留言板（simple）

php中文网

发布时间：2016-06-06 19:47:45

1295人浏览过

来源于php中文网

原创

新手学php，试手案例便是留言板。以前未连接数据库时，我是直接将用户输入的留言写入到一个txt，然后再从txt读取显示（~.~别鄙视）。最近学习了php访问MySQL数据库的一些知识，重写了一下留言板，功能比较简单，当学习记录。 1.首先是提交留言的表单guessbo

新手学php，试手案例便是留言板。以前未连接数据库时，我是直接将用户输入的留言写入到一个txt，然后再从txt读取显示（~.~别鄙视）。

最近学习了php访问MySQL数据库的一些知识，重写了一下留言板，功能比较简单，当学习记录。

　　1.首先是提交留言的表单guessbook.php，提交至post.php。


     
        for="exampleInputName">用户名
        
     
     
         for="exampleInputEmail">邮箱
         
     
     
         
     
     
          class="button" value="提交">
          class="button"  value="重置">

　　2.数据库的连接config.php

php
    $con = mysql_connect("localhost","user","passwd");
    if(!$con)
        die('Could not connect: ' . mysql_error());

    mysql_query("set names utf8"); //以utf8读取数据
    mysql_select_db("dbname",$con); //选择数据库
?>

　　3.对用户留言进行验证post.php

立即学习“PHP免费学习笔记（深入）”；

　　在我们把数据插入数据库时，为了让我们输入的数据在显示时仍然保持最初的形式，就必须对数据进行一些处理。比如如果不转义直接显示，比如js代码，就会直接在你的页面中运行。

这里用到了htmlspecialchars函数。不过htmlspecialchars不会转义换行符\r\n号，也就是说如果你插入的数据中包含了换行,当你进行转义显示时，该函数不会显示换行。所以在显示数据时需要用到nl2br函数。

迅易年度企业管理系统开源完整版

系统功能强大、操作便捷并具有高度延续开发的内容与知识管理系统，并可集合系统强大的新闻、产品、下载、人才、留言、搜索引擎优化、等功能模块，为企业部门提供一个简单、易用、开放、可扩展的企业信息门户平台或电子商务运行平台。开发人员为脆弱页面专门设计了防刷新系统，自动阻止恶意访问和攻击；安全检查应用于每一处代码中，每个提交到系统查询语句中的变量都经过过滤，可自动屏蔽恶意攻击代码，从而全面防止SQL注入攻击

下载

php
    header("content-Type: text/html; charset=utf-8");
    include("config.php");                //数据库连接
    $name= $_POST['name'];
    $email= $_POST['email'];
    $patch = $_POST['content'];           //获取游客提交信息
    if ($name=="" || $email=="")          //游客未填写用户名和邮箱处理
    {
        echo "";
    }
    else
    {  
        // 对游客留言进行处理 
        $content = str_replace("","
",htmlspecialchars($patch));
        //插入数据库语句
        $sql = "insert into content (name,email,content,time) values ('$name','$email','$content',now())";
        mysql_query($sql);
        //插入成功，返回信息
        echo "";
    }    
?>

　　4.展示用户留言列表，可在guessbook.php留言表单下面展示。

include("config.php");                //连接数据库
$sql="select * from content";         //数据库查询语句，content为该用户留言的表。
$result = mysql_query($sql,$con);

class="table table-responsive">
    
        php
            while ($row=mysql_fetch_array($result)) {
        ?>
    php
            }
        ?>

        User
        Content
        Time
    
    
    
        echo $row[1] ?>
        echo nl2br($row[3]) ?>       
        echo $row[4] ?>