0

我正在使用本教程创建一个 ajax 站点并且正在努力使用 PHP。这是提供的代码：

PHP

if(!$_POST['page']) die("0");

$page = (int)$_POST['page'];

if(file_exists('pages/page_'.$page.'.html'))
echo file_get_contents('pages/page_'.$page.'.html');

else echo 'There is no such page!';

我想使用 等以外的命名结构page_1.html。page_2.html我的 HTML 如下所示：

HTML

<ul id="navigation">
    <li><a href="#home">Home</a></li>
    <li><a href="#about">About</a></li>
    <li><a href="#services">Services</a></li>
    <li><a href="#page4">Page 4</a></li>
</ul>

现在唯一有效的链接是“第 4 页”。我将如何重写 PHP 以便前三个链接可以工作？

Javascript

var default_content="";

$(document).ready(function(){

    checkURL();
    $('ul li a').click(function (e){

            checkURL(this.hash);

    });

    //filling in the default content
    default_content = $('#pageContent').html();


    setInterval("checkURL()",250);

});

var lasturl="";

function checkURL(hash)
{
    if(!hash) hash=window.location.hash;

    if(hash != lasturl)
    {
        lasturl=hash;

        // FIX - if we've used the history buttons to return to the homepage,
        // fill the pageContent with the default_content

        if(hash=="")
        $('#pageContent').html(default_content);

        else
        loadPage(hash);
    }
}


function loadPage(url)
{
    url=url.replace('#page','');

    $('#loading').css('visibility','visible');

    $.ajax({
        type: "POST",
        url: "load_page.php",
        data: 'page='+url,
        dataType: "html",
        success: function(msg){

            if(parseInt(msg)!=0)
            {
                $('#pageContent').html(msg);
                $('#loading').css('visibility','hidden');
            }
        }

    });

}
4

3 回答 3

1

只有page4作品，因为它期望脚本被命名为page_number.html. 您home, about, services与该模式不匹配。为了使它们也能正常工作，您需要将file_get_contents()调用更改为 allow page/anything.html。

首先要修改的是发布的功能：

function loadPage(url)
{
    // Instead of stripping off #page, only 
    // strip off the # to use the rest of the URL
    url=url.replace('#','');

    $('#loading').css('visibility','visible');

    $.ajax({
        type: "POST",
        url: "load_page.php",
        data: 'page='+url,
        dataType: "html",
        success: function(msg){

            if(parseInt(msg)!=0)
            {
                $('#pageContent').html(msg);
                $('#loading').css('visibility','hidden');
            }
        }

    });
}

现在，这在 PHP 中引入了安全风险。您需要验证 的值$_POST['page']是严格的字母数字，以便没有人可以注入文件名../../../../somefile来读取您的文件系统。使用下面的表达式将允许您使用任何字母和数字字符来命名文件，但会拒绝点和空字节，这是文件路径注入/目录遍历攻击中的主要危险。

if(empty($_POST['page'])) die("0");
// Remove the typecast so you can use the whole string
//$page = (int)$_POST['page'];
// Just use the post val.  This is safe because we'll validate it with preg_match() before use...
$page = $_POST['page'];

// And validate it as alphanumeric before reading the filesystem
if (preg_match('/^[a-z0-9]+$/i', $_POST['page']) && file_exists('pages/'.$page.'.html')) {
  // Remove the page_ to use the whole thing
  echo file_get_contents('pages/'.$page.'.html');
}
else echo 'There is no such page!';
于 2012-05-28T22:43:54.360 回答
1

你需要改变的不仅仅是这个才能让它工作。

  1. 更改 JS，使其不会从 URL 中删除除井号之外的任何内容：

    url=url.replace('#page','');

    需要是：

    url=url.replace('#','');

  2. 更改 PHP 以处理字符串：

    if(!$_POST['page']) die("0");

// Only allow alphanumeric characters and an underscore in page names
$page = preg_replace( "/[^\w]/", '', $_POST['page']);

if(file_exists('pages/'.$page.'.html'))
    echo file_get_contents('pages/'.$page.'.html');
else echo 'There is no such page!';

  3. 现在在pages/目录中创建页面。

    • <li><a href="#home">Home</a></li>将会home.html
    • <li><a href="#about">About</a></li>将会about.html
    • <li><a href="#services">Services</a></li>将会services.html
    • <li><a href="#page4">Page 4</a></li>将会page4.html
于 2012-05-28T22:44:54.530 回答
0

将 PHP 更改为：

$page = $_POST['page'];
if(file_exists('pages/'.$page.'.html'))
echo file_get_contents('pages/'.$page.'.html');

现在您正在使用整个哈希标记，因此#about 将导致：pages/about.html

在你的 javascript 函数 loadPage 中更改它

url=url.replace('#page','');

变成

url=url.replace('#','');
于 2012-05-28T22:39:57.067 回答