问题标签 [htmlspecialchars]

我正在尝试建立一个基本上用于共享示例代码和评论的网站。我的问题是避免使用任何标签/脚本，除了 img 和一些非常常见的标签/脚本，例如 i b ...

首先通过拆分标签开始我的 代码，split_tag 其他地方和 htmlspecialchars 到代码部分，然后重新合并它们。但是，如果用户在文本部分的任何地方使用 <，它仍然会删除帖子，直到看到 >。（还尝试通过在 < 之后放置一个空格来避免删除 strip_tags，但无法找到一种方法来识别它是标签还是小于标签）

然后我向后尝试。对所有帖子使用 htmlspecialchars 并将特定的更改回标签外观。这次我遇到了所有替换功能的麻烦，因为其中一些功能无法正常工作或相互重叠。我觉得有一个简单的解决方案，但我看不到正确的角度。有什么建议么 ？

$yazi = htmlspecialchars($_POST["yazi"]);
$yazi = str_replace('&lt;a href=&quot;', '<a href"', $yazi);
$yazi = str_replace('&lt;&#47a&gt;', '</a>', $yazi);
$yazi = str_replace('&lt;code&gt;','<code>', $yazi);
$yazi = str_replace('&lt;&#47codea&gt;', '</code>', $yazi);
$yazi = str_replace('&lt;br&gt;', '<br>', $yazi);
$yazi = str_replace('&lt;i&gt;', '<i>', $yazi);
$yazi = str_replace('&lt;&#47i&gt;', '</i>', $yazi);
$yazi = str_replace('&lt;b&gt;','<b>',$yazi);
$yazi = str_replace('&lt;&#47b&gt;','</b>',$yazi);
$yazi = str_replace('&lt;p&gt;','<p>',$yazi);
$yazi = str_replace('&lt;&#47p&gt;','</p>',$yazi);
$yazi = str_replace('&lt;img src=&quot;', '<img src="', $yazi);
$yazi = str_replace('&quot;/&gt;', '"/>', $yazi);
$yazi = str_replace('&quot; /&gt;', '" />', $yazi);
$yazi = str_replace('&quot;&gt;', '">', $yazi);
$yazi = str_replace('&quot; &gt;', '" >', $yazi);

这是我的代码，它会回显“不工作”

如果我做了一个变量：

这会以某种方式起作用，但是当我从以下位置获取它时它不会：

有谁知道为什么？

我被困在一个正则表达式上。我有大量的文字

我需要一个正则表达式，它可以找到所有&不属于所列项目的 -s。

我有一个 XML，其中包含许多特殊符号，如 ®（HTML 编号 ®）等和 HTML 名称，如 ã（HTML 编号 ã）等。

我正在尝试使用 Java 将这些 HTML 符号和 HTML 名称替换为相应的 HTML 编号。为此，我首先将 XML 文件转换为字符串，然后使用 replaceAll 方法：

但这不起作用。

谁能告诉我该怎么做。

谢谢 ！！！

我在 Flex 3 项目中使用 Zend AMF 远程处理。如何确保我的 Flex 应用程序发送到我的 php 的参数不会导致 SQL 注入或其他安全问题。

如何使 $parameterArray 安全？它是一个字符串和数值数组。如何将 mysql_real_escape_string 与 $parameterArray 一起使用？我还需要使用 htmlspecialchars 吗？在这种情况下如何使用它？我还需要做些什么来确保它的安全吗？

PHP：

我正在使用带有远程处理功能的 Flex 3 从 MySQL 数据库返回数据。我是否需要使用 htmlspecialchars 来确保我的网站安全？

据我了解，htmlspecialchars 用于“清理”从数据库返回的数据。例如：

在上述情况下如何使用它？

还是我写：

还是别的什么？

我有一个表单，用户可以在其中将全局通知发布到系统中（供其他用户查看）。
系统直接从 DB 输出 HTML（当用户想要查看通知时）。
我想让一些 html 标签保持完整，并让其余的标签应用 htmlspecialchars()。
我已经尝试申请

策略，但它似乎真的很慢。其实太慢了 而且总是有效的也不安全，有没有替代方案？
我想要做 strip_tags() 工作的东西，除了它，而不是条带化标签，它将 htmlspecialchars 应用于不允许的标签。

ADD(ed) info (by request):

$str 可以是你能想到的任何大小。我考虑使用一个大字符串（1M 个字符（随机生成，其中包含一些允许和一些不允许的标签。所有标签都有属性），因为它是测试最坏情况之一的原因 逻辑：如果它像这样工作，它应该适用于更简单
的情况。服务器需要 5 秒来处理完整的 str_replace（使用 htmlspecialchars）。这个测试是在我的具有 2GHz CPU 和 DDR3 RAM 的计算机上进行的。
$search 和 $replace 总共有 7 个替换。他们仍然这样做并非总是有效。在某些情况下，$search 会给出误报或漏报。
为了澄清，我在保存到数据库时应用这些更改，而不是在从数据库检索时应用这些更改。

我有一个数据网格（6 列），它显示来自数据库的字符串。我正在尝试使用标签函数来转义字符串中的 html 特殊字符（如 &apos、& 等）。

我在网上找到了这个：

但是，当我这样做时，出现错误：无法访问空对象引用的属性或方法。

当我像这样更改上面的代码时，这很好用：

其中 computer_name 是此数据网格列的数据字段。

发布数据网格代码：

到目前为止，这一切都很好（仅将 labelfunction 应用于 2 列）.. 但我想将 label 函数应用于所有列...

php htmlspecialchars 对 JS 安全吗？

多字节字符怎么样？

我编写了一个脚本来读取邮箱中的电子邮件。

在一些电子邮件中，我将一些数据转换为破坏我进一步处理的 wiered 字符。

这些字符看起来像这样http://brucejohnson.ca/HTMLCharacters13.html

知道如何将它们转换为原始内容。