问题标签 [sanitize]

我正在印度的一家非政府组织实习（Seva Mandir，http ://sevamandir.org ），并试图修复他们损坏的“订阅时事通讯”框。因为工作人员不是很老练，而且我们的网络主机也不是很好，所以我决定通过 mail() 将相关数据发送给发布人员，而不是将其存储在 MySQL 数据库中。

我知道最好将用户输入视为恶意输入，并且我在 SO 论坛中搜索了与转义用户数据以发送邮件消息相关的帖子。我知道数据应该被转义；我应该担心什么？在发送电子邮件之前清理输入的最佳方法是什么？

另请注意，该组织的 Web 主机仍在使用 PHP 4，因此我不能只对字符串使用 filter_var。我正在与他们一起解决问题，但现在我必须使用正则表达式或 strip_tags 或其他方法。

表单流程：
1. 用户在主页输入电子邮件并点击提交
2. 用户在第二页输入姓名、地址、更多信息（我知道可用性不好，但我的老板要求我这样做）并点击“提交”
3. 收集数据通过 $_POST 并将其通过电子邮件发送给出版物编辑（并可能向订阅者发送确认）。

我将在步骤 2 中清理电子邮件，在步骤 3 中清理其他数据。感谢您的帮助，
Kevin

我把这个案例变成了一个简单的 PHP 页面，它自己提交。我的问题是我正在提交田径比赛结果，其中一个女孩的名字是 Echo……一个可爱的名字。

我提交的问题文本是：撑杆跳 - Rachel Simons, Tow, 8-6; 回声威尔逊，Cit，8-0；莫莉·兰德尔，拖车，7-0；

所以你会看到一个分号，后跟空格，然后是 Echo ......

提交后，它说： POST to /results/test.php not supported

最终目标是将其与其他一些信息一起保存到数据库中，并有一个搜索页面来找到它，并在屏幕上简单地打印出完整的结果。我删除了我所有的数据库内容以解决这个错误。我的意思是，我可以故意拼错她的名字，但总有办法解决这个问题，对吧？？？

这是测试 PHP 文件。

好吧，这可能是我发现的最严重的错误。

我有两个项目，都使用相同的代码：

但一个有效，另一个失败。

问题类似于这个可怜人的帖子：https ://stackoverflow.com/questions/2724342/cant-dup-nilclass-how-to-trace-to-offender

有人可以帮忙吗？

我一直在寻找一种方法来去除我的 XML 内容中的撇号 (')，因为我的 DBMS 抱怨接收这些撇号。

我需要

成为：

通过查看此处描述的示例（应该替换'为''），我构建了以下脚本：

更新：它工作正常

谢谢你的帮助

我正在编写一些代码来向用户提供有关使用 AJAX 验证表单的实时反馈。我已经检查了长度以及该字段是否为空。现在我希望它清理用户输入，如果清理后的输入与用户的原始输入不同，那么告诉他们哪些字符是不允许的。

到目前为止，我编写的代码有效，除了一些字符最显着的“£”符号导致没有响应。我认为它与 json_encode 及其编码有关。

这是代码：

希望有人能想出一个解决办法。

我希望我的应用程序在输入而不是显示时清理 html，以便清理保存到数据库中的字段。

我一直在这样做strip_tags，而且效果很好。但是，这有一个缺点，这意味着用户无法输入任何用<and括起来的内容>。

如何在模型中告诉 Rails 在将标签保存到数据库之前安全地转义标签？在视图中使用它们之前，我希望不必h再次调用已清理的字段。

我目前正在寻找的是一个简单、基本的登录凭据清理脚本。

我知道我做了一个功能来做到这一点，我有一个......但它现在所做的只是剥离标签......

我注定要使用替换吗？或者有没有办法我可以删除所有特殊字符和空格并将其限制为仅字母和数字...然后至于密码将其限制为仅字母和数字 exclimation 点、句点和其他不会影响我的特殊字符SQL 查询。

请帮忙 ：/

谢谢，马特

我一直在网上搜索，我什么也没找到！

我正在使用 symfonys 表单框架来构建一个简单的“创建”表单。验证没问题。但是我想预先过滤我提交的值，所以添加 ucfirst、strtoupper 等。

我不确定我是否在这里遗漏了一些重要的东西，但我认为这是唯一的方法是创建我自己的自定义验证器并使用 doClean 方法，这似乎很愚蠢，因为我有数百个验证器对于每个 php 函数！

希望你们能提供帮助，我一直在爬取源代码、api、大量书籍和博客，但我没有找到任何东西:(要么不可能，要么真的很容易，我希望是后者！

我可以在我计划向其他用户显示的用户输入文本上使用ActionView::Helpers::SanitizeHelper#sanitize吗？例如，它会正确处理本网站上描述的所有案例吗？

此外，文档还提到：

请注意，清理用户提供的文本并不能保证生成的标记是有效的（符合文档类型）甚至是格式正确的。输出可能仍包含例如未转义的 '<'、'>'、'&' 字符和混淆浏览器。

处理这个问题的最佳方法是什么？在显示之前通过已清理的文本Hpricot？

我必须清理 sql 查询的一部分。我可以做这样的事情：

但这并不安全，因为我公开了受保护的方法。有什么更好的方法呢？