PHP 表单安全性

$_SERVER["PHP_SELF"] 变量能够被***利用！

如果页面使用了 PHP_SELF，用户能够输入下划线然后执行跨站点脚本（XSS）。

假设我们的一张名为 "test_form.php" 的页面中有如下表单：

">

现在，如果用户进入的是地址栏中正常的 URL："http://www.example.com/test_form.php"，上面的代码会转换为：

到目前，一切正常。

不过，如果用户在地址栏中键入了如下 URL：

http://www.example.com/test_form.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E

在这种情况下，上面的代码会转换为：

这段代码加入了一段脚本和一个提示命令。并且当此页面加载后，就会执行 JavaScript 代码（用户会看到一个提示框）。这仅仅是一个关于 PHP_SELF 变量如何被利用的简单无害案例。

您应该意识到 ">

无法利用，没有危害！