在PHP中显示格式化的用户输入

你可以在这个页面下载这个文档附带的文件，也可以在文件下载中的字符处理中下载这个文档描述如何安全显示的有格式的用户输入。我们将讨论没有经过过滤的输出的危险，给出一个安全的显示格式化输出的方法。

没有过滤输出的危险

如果你仅仅获得用户的输入然后显示它，你可能会破坏你的输出页面，如一些人能恶意地在他们提交的输入框中嵌入javascript脚本：

This is my comment.

＜script language="javascript：

alert('Do something bad here!')">.

这样，即使用户不是恶意的，也会破坏你的一些HTML的语句，如一个表格突然中断，或是页面显示不完整。

只显示无格式的文本

这是一个最简单的解决方案，你只是将用户提交的信息显示为无格式的文本。使用htmlspecialchars()函数，将转化全部的字符为HTML的编码。

如＜b>将转变为，这可以保证不会有意想不到的HTML标记在不适当的时候输出。

这是一个好的解决方案，如果你的用户只关注没有格式的文本内容。但是，如果你给出一些可以格式化的能力，它将更好一些。

Formatting with Custom Markup Tags

用户自己的标记作格式化

你可以提供特殊的标记给用户使用，例如，你可以允许使用...加重显示，...斜体显示，这样做简单的查找替换操作就可以了： output = str_replace("", "＜b>", output);

output = str_replace("", "＜i>", output);

再作的好一点，我们可以允许用户键入一些链接。例如，用户将允许输入[link="url"]...[/link]，我们将转换为＜a href="">...＜/a>语句

这时，我们不能使用一个简单的查找替换，应该使用正则表达式进行替换：

output = ereg_replace('\[link="([[:graph:]] )"\]', '＜a href="http://www.phpbuilder.com"]a link[/link]

- this is [anchor="test"]an anchor, and a [link="#test"]link[/link] to the anchor

[p]段落

[pre]预先格式化[/pre]

[indent]交错文本[/indent]

这些只是很少的标记，当然，你可以根据你的需求随意加入更多的标记

Conclusion

结论

这个讨论提供安全显示用户输入的方法，可以使用在下列程序中

留言板

用户建议

系统公告

BBS系统