如何在php中修补XSS漏洞
在PHP中修补XSS漏洞，我们可以使用三个PHP函数。
这些函数主要用于清除HTML标志，这样就没办法注入代码了。使用更多的函数是htmlspecialchars() ，它可以将所有的"<"与">"符号转换成"<" 与">;"。其它可供选择的函数还有htmlentities(), 它可以用相应的字符实体(entities)替换掉所有想要替换掉的特征码(characters)。
PHP Code:
// 这里的代码主要用于展示这两个函数之间输出的不同
$input = '';
echo htmlspecialchars($input) . '
';
echo htmlentities($input);
?>
htmlentities()的另一个例子
PHP Code:
$str = "A 'quote' is bold";
echo htmlentities($str);
echo htmlentities($str, ENT_QUOTES);
?>
第一个显示： A 'quote' is bold
第二个显示：A 'quote' is bold
htmlspecialchars()使用实例
PHP Code:
$new = htmlspecialchars("Test", ENT_QUOTES);
echo $new;
?>
显示： Test
strip_tags()函数代替.删除所有的HTML元素(elements)，除了需要特别允许的元素之外，如：, 或
.
strip_tags()使用实例
PHP Code:
$text = '
Test paragraph.
Other text';
echo strip_tags($text);
echo "\n";
// allow
echo strip_tags($text, '
');
?>
现在我们至少已经知道有这些函数了，当我们发现我们的站点存在XSS漏洞时就可以使用这些代码了。我最近在我的站点上的GoogleBig(一个Mybb论坛的插件)视频部分发现了一个XSS漏洞，因此我就在想如何使用这些函数写段代码来修补这个搜索漏洞。
首先我发现问题出在search.php这一文件上，现在让我们看看这个查询及输出查询结果中的部分代码研究一下：
PHP Code:
function search($query, $page)
{
global $db, $bgcolor2, $bgcolor4, $sitename, $io_db, $module_url, $list_page_items, $hm_index;
$option = trim($option);
$query = trim($query);
$query = FixQuotes(nl2br(filter_text($query)));
$db->escape_string($query);
$db->escape_string($option);
alpha_search($query);
...
在这种情况下，我们通过使用$query这一值作为变量，然后使用htmlentities()这一函数：
PHP Code:
$query = FixQuote
相关文档：
近来对php比较感兴趣，就断断续续的花了两个星期的时间把整个php开发需要用到的东西都装好了，大概的安装过程如下。
一、安装的软件:
Apache: 2.2.14
PHP:5.2.12
MySQL:5.1.42。
SVN:1.5.6
PHPMyAdmin:3.2.5
Zend Studio: 7.1
Zend Debugger: 5.1.14
二、安装过程：
1. 安装和配置apache
安装：首先从http://apa ......
最近用win7了，弄了个激活码，也不知道能用到什么时候，心里多少是有点忧虑的，没个底，管他的呢，现在能用就先用着，以前也没玩怎么过Vista，不过感觉win7界面上还是有点像Vista的，有些功能上也差不多，不过感觉用这个win7还真不错，我也只是相对XP的感觉，当然了，win7的硬盘空间倒是占用了不老少我19G的C盘装完后就还剩 ......
经常有一些经验不足的PHP开发人员在Freenode的php
IRC频道上问问题。如果问题很琐碎，或者答案显而易见，或表现得象一个菜鸟，很快他们就会发现会受到如下一些回复的炮轰：“去读该死的手册去吧”，“好
好去学一学PHP吧”，“我们不是你个人的导师”或更直接的“你需要成为一个更好� ......
<?php
function getmicrotime(){
list($usec, $sec) = explode(" ",microtime());
return ((float)$usec + (float)$sec);
}
//例子
//开始
$time_start = getmicrotime();
//这里放你的代码
......
系统设计从一开始就应该考虑不同平台的兼容性问题，最常见一个问题就是Linux/uniux与Win的一些不同，比如说文件路径分隔符、多个路劲分隔符等等。PHP本身内置了很多常量，在方便的编写代码同时也很好的处理好了不同平台下的一些兼容性问题。比如最常用的：
DIRECTORY_SEPARATOR 路径分隔符，Win下是"\"� ......
