从传入字符串中删除所有垃圾的例程？

Question

有时，当用户将数据复制并粘贴到输入表单中时，我们会得到如下字符：

.=‘quote 3’>欧元的™t，开始报价的欧元œ，结尾的欧元，等等.

我使用这个例程来净化web表单上的大部分输入(我不久前写过它，但也在寻找改进)：

function fnSanitizePost($data) //escapes,strips and trims all members of the post array
{
    if(is_array($data))
    {
    $areturn = array();
    foreach($data as $skey=>$svalue)
    {
      $areturn[$skey] = fnSanitizePost($svalue);
    }
    return $areturn;
  }
  else
    {
      if(!is_numeric($data))
        {
            //with magic quotes on, the input gets escaped twice, which means that we have to strip those slashes. leaving data in your database with slashes in them, is a bad idea
            if(get_magic_quotes_gpc()) //gets current configuration setting of magic quotes
      {
        $data = stripslahes($data);
      }
        $data = pg_escape_string($data); //escapes a string for insertion into the database
        $data = strip_tags($data);  //strips HTML and PHP tags from a string
      }
        $data = trim($data);  //trims whitespace from beginning and end of a string
      return $data;
    }
}

我真的想避免像我上面提到的字符被存储在数据库中，我需要在我的消毒例程中添加一些regex替换吗？

谢谢,

-尼古拉斯

Answer 1

我终于想出了一个替换这些角色的例行公事。它需要分析一些有问题的字符串，每次一个字符，并返回每个字符的八进制值。在此过程中，我了解到智能引号字符作为3八进制值的集合返回。下面是用于解析字符串的例程：

$str = "string_with_smart_quote_chars";

$ilen = strlen($str);
$sords = NULL;

echo "$str\n\n";

for($i=0; $i<$ilen; $i++)
{
    $sords .= ord(substr($str, $i, 1))."  ";
}

echo "$sords\n\n";

下面是用于“修复”字符串的str_replace()调用：

$str = str_replace(chr(226).chr(128).chr(156), '"', $str); // start quote
$str = str_replace(chr(226).chr(128).chr(157), '"', $str); // end quote
$str = str_replace(chr(226).chr(128).chr(153), "'", $str); // for single quote

我将继续建立这些搜索/替换的数组，我相信随着这些类型字符的使用越来越多，它们将继续增长。

我知道有一些用于替换这些程序的固定例程，但在我的脚本正在运行的Solaris 10平台上，我对其中的任何一个都不满意。

-尼古拉斯

Answer 2

欧罗™t，欧罗œ代表起始报价，欧元代表结尾报价吗？

这不是垃圾，那些是合法的“智能引号”字符已经传递给您编码为UTF-8，但读错了，作为ISO-8859-1。

您可以尝试删除它们，或者尝试使用utf_decode将它们解析为普通的拉丁语1，但如果这样做，您将有一个应用程序，它将不允许您在ASCII之外键入任何内容，而在当今时代，ASCII是一个非常糟糕的节目。

如果你能管理的话，最好是把你所有的页面都作为UTF-8服务，你所有的表单提交都以UTF-8的形式提交，所有的数据库内容都存储在UTF-8中。理想情况下，您的应用程序可以在内部处理所有Unicode字符，但遗憾的是，PHP作为一种语言没有原生Unicode字符串，因此通常是将所有字符串都保存为UTF-8，并冒着偶尔截断UTF-8序列和获取�的风险，除非您想要处理mbstring。

$data = pg_escape_string($data)；//转义字符串以插入数据库 $data = strip_tags($data)；//从字符串中剥离HTML和PHP标记

您不希望这样做作为清洁措施进入您的应用程序。将所有字符串保持为纯文本形式，以便处理它们，然后只有在到达Postgres查询的过程中才会使用pg_escape_string()，而htmlspecialchars()只能在输出到HTML页面的过程中使用。

否则，您将得到一些奇怪的东西，比如SQL转义会出现在直接通过脚本传递到输出页面的变量上，而且没有人能够使用简单的字符。

作为清洁措施，您可以有效地删除字符串中的任何控制代码(换行符除外，\n，这可能是您想要的)。

$data= preg_replace('/[\x00-\x09\x0B-\x19\x7F]/', '', $data);

Answer 3

您需要签出解码函数:将一个字符串转换为单字节ISO8859-1，该字符串以UTF-8编码。您似乎得到了UTF字符，而数据库无法处理这些字符。

另一种解决方案是在可能的情况下更改数据库的编码。