var_dump filter_var FILTER_SANITIZE_URL 返回行为

Question

在这里我很困惑为什么var_dump 中的FILTER_SANITIZE_URL 返回错误的字符串长度并且不删除诸如 .这发生在所有 filter_var 预定义的过滤器常量中。这是错误还是背后有逻辑？

我使用 PHP 5.4 是因为我必须这样做，我们的服务器在它上面运行。让我来演示一下。 我有这个网址：

$url = 'http://www.example.com/index.php?a=1&b=2&c=3&d=some%20string';

如果我对其进行清理并 var_dump 它：

var_dump(filter_var($url, FILTER_SANITIZE_URL));

它会返回：

string(60) "http://www.example.com/index.php?a=1&b=2&c=3&d=some%20string"

现在，如果我在 URL 中放入恶意代码

$url = 'http://www.example.com/index.php?
<script>
function myFunction() {
    var x = "<?php echo $var; ?>";
    alert(x);

}
</script>a=1&b=2&c=3&d=some%20string';

相同的代码：var_dump(filter_var($url, FILTER_SANITIZE_URL)); 将返回：

string(132) "http://www.example.com/index.php?a=1&b=2&c=3&d=some%20string"

注意返回var的类型和长度。比前一个多 72 个字符，但显然字符串仍然是 60 个字符长。为什么 var_dump 或 filter_var 会以这种方式表现？如果这是一个错误，则已修复。当我记录这些类型的数据时，我需要这个函数来返回确切的字符数。

Answer 1

FILTER_SANITIZE_URL 从 URL 中删除了所有不必要的字符，包括空格，如果你检查查看源它会显示

<script>functionmyFunction(){varx="<?phpecho$var;?>";alert(x);}</script>

为什么要返回 132 个字符？

因为<script> 标记和内部代码也包含在字符串中。 FILTER_SANITIZE_URL 不删除标签它只是删除空格和这个过滤器允许所有字母、数字和

$-_.+!*'(),{}|\\^~[]`"><#%;/?:@&=

要删除恶意代码，请使用strip_tags()等其他功能。

$var = filter_var(strip_tags($url), FILTER_SANITIZE_URL);

如果代码包含为字符串，那为什么不显示？

因为您在浏览器上使用 var_dump 并检查结果，除非转到页面查看源，否则您无法在浏览器上查看 <script> 标签内的任何代码。

如果你去掉<script>标签，会发生什么？

如果您删除了<script> 标签，它将显示以下内容：

string(115) "http://www.example.com/index.php?functionmyFunction(){varx="";alert(x);}a=1&b=2&c=3&d=some%20string" 

<script></script> 的 17 个字符应删除。