Question

<?php 

$x = array("<b>","<i>","b","i","<h1>hello</h1>");
print_r ($x);
echo "<hr>";
var_dump ($x);

在html源代码中输出此内容！

Array
(
    [0] => <b>
    [1] => <i>
    [2] => b
    [3] => i
    [4] => <h1>hello</h1>
)
<hr>array(5) {
  [0]=>
  string(3) "<b>"
  [1]=>
  string(3) "<i>"
  [2]=>
  string(1) "b"
  [3]=>
  string(1) "i"
  [4]=>
  string(14) "<h1>hello</h1>"
}

显然，我本可以通过XSS进行操作！如何确保数组值是htmlencoded？

Answer 1

虽然这个问题有一个公认的答案，但我认为David Morrow的答案是最好/最简单/最实用的（使用print_r true标志）：

echo "<pre>".htmlentities(print_r($some_array, true))."</pre>";

从来没有，这是另一种使用输出缓冲的解决方案：

<?php

ob_start();
print_r($some_array);
$buffer = ob_get_clean();
echo "<pre>".htmlentities($buffer)."</pre>";

?>

Answer 2

我发现knittl的代码不起作用。我必须进行一些小改动才能使其工作如下：

array_walk_recursive($inputarray, function(&$v) { $v = htmlspecialchars($v); });

现在这在PHP5.3 +

中工作正常

Answer 3

或者您可以将print_r保存为字符串，然后使用第二个参数设置为true来转义它。

$arr = array('<script>alert("hey");</script>');
$str = print_r($arr, true);
echo htmlentities($str);

<强>输出：

Array
(
   [0] => <script>alert("hey");</script>
)

脚本未执行

Answer 4

一个简单的解决方案是使用array_walk_recursive：

array_walk_recursive($inputarray, function(&$v) { $v = htmlspecialchars($v); });

Answer 5

this PHP manual comment中描述了一个适合我的功能。

他替换var_dump的函数实现为：

function htmlvardump()
{
    ob_start(); 
    $var = func_get_args(); 
    call_user_func_array('var_dump', $var); 
    echo htmlentities(ob_get_clean());
 }

这适用于PHP 5.3 +。

（请注意原始来源中存在拼写错误。）

Answer 6

感谢Knittl，这是我想出的。以我想要的方式工作！

<?php 


$x = array("tag1" => "<b>","tag2" => "<i>","tag3" => "b","tag4" => "i","tag5" => "<h1>hello</h1>");

echo "<hr><pre>";
blp_print_r ($x);
echo "<hr>";
print_r($x);
echo "</pre><hr>"; 

/*

outputs this in the browser normal view

new one... 

Array
(
        ['tag1'] => <b>
        ['tag2'] => <i>
        ['tag3'] => b
        ['tag4'] => i
        ['tag5'] => <h1>hello</h1>
)


traditional one...

Array
(
    [tag1] => 
    [tag2] => 
    [tag3] => b
    [tag4] => i
    [tag5] => 
hello


)

*/



function blp_print_r($inputarray){
    echo "Array\n(\n";
    echo "<blockquote>";
    array_walk($inputarray,"html_encoder");
    echo "</blockquote>";
    echo ")";
}

function html_encoder($current_val,$current_key){

    echo "['" , htmlentities($current_key, ENT_QUOTES, "UTF-8") , "']", " => ";
    echo htmlentities($current_val, ENT_QUOTES, "UTF-8") , "\n";
}

?>

Answer 7

echo <pre>; echo htmlspecialchars(print_r($key['value'], true)); echo '</pre>';

我使用此代码从没有sql数据库输出数组值（包含adsense代码）。

Answer 8

我发现这个页面非常有用，但我确实修改了函数是递归的，walker处理函数在回显键后检查一个数组，然后回调该数组上的原始函数。我认为这使它成为一个真正的'递归htmlentity函数，因此新名称......

function htmlentities_print_r( $inputarray ) {

    echo "<pre>" ;

         array_walk( $inputarray , "html_encoder" ) ;

    echo "</pre>";

}

function html_encoder($current_val,$current_key){

    echo "['" , htmlentities($current_key, ENT_QUOTES, "UTF-8") , "']", " => ";

    if ( is_array( $current_val ) ) {

        blp_print_r( $current_val ) ;

    } else {

        echo htmlentities($current_val, ENT_QUOTES, "UTF-8") , "\n";

    }
}

var_dump或print_r和html编码

8 个答案: