PHP笔记
什么是 PHP？
- PHP 是 "PHP Hypertext Preprocessor" 的首字母缩略词
- PHP 是一种被广泛使用的开源脚本语言
- PHP 脚本在服务器上执行
- PHP 没有成本，可供免费下载和使用
基础 PHP 语法
注释：PHP 语句以分号结尾（;）。PHP 代码块的关闭标签也会自动表明分号（因此在 PHP 代码块的最后一行不必使用分号）。
PHP 大小写敏感
在 PHP 中，所有用户定义的函数、类和关键词（例如 if、else、echo 等等）都对大小写不敏感。
不过在 PHP 中，所有变量都对大小写敏感。
PHP 变量规则：
- 变量以 $ 符号开头，其后是变量的名称
- 变量名称必须以字母或下划线开头
- 变量名称不能以数字开头
- 变量名称只能包含字母数字字符和下划线（A-z、0-9 以及 _）
- 变量名称对大小写敏感（$y 与 $Y 是两个不同的变量）
注释：PHP 变量名称对大小写敏感！
PHP 变量作用域
在 PHP 中，可以在脚本的任意位置对变量进行声明。
变量的作用域指的是变量能够被引用/使用的那部分脚本。
PHP 有三种不同的变量作用域：
- local（局部）
- global（全局）
- static（静态）
Local 和 Global 作用域
函数之外声明的变量拥有 Global 作用域，只能在函数以外进行访问。
函数内部声明的变量拥有 LOCAL 作用域，只能在函数内部进行访问。
注释：您可以在不同的函数中创建名称相同的局部变量，因为局部变量只能被在其中创建它的函数识别。PHP static 关键词
通常，当函数完成/执行后，会删除所有变量。不过，有时我需要不删除某个局部变量。实现这一点需要更进一步的工作。
要完成这一点，请在您首次声明变量时使用 static 关键词：
实例
<?php
function myTest() {
static $x=0;
echo $x;
$x++;
}
myTest();
myTest();
myTest();
?>
运行实例
然后，每当函数被调用时，这个变量所存储的信息都是函数最后一次被调用时所包含的信息。
注释：该变量仍然是函数的局部变量。
PHP 5 echo 和 print 语句
在 PHP 中，有两种基本的输出方法：echo 和 print。PHP echo 和 print 语句
echo 和 print 之间的差异：
- echo - 能够输出一个以上的字符串
- print - 只能输出一个字符串，并始终返回 1
提示：echo 比 print 稍快，因为它不返回任何值。
PHP echo 语句
echo 是一个语言结构，有无括号均可使用：echo 或 echo()。
PHP echo 语句
echo 是一个语言结构，有无括号均可使用：echo 或 echo()。
显示字符串
下面的例子展示如何用 echo 命令来显示不同的字符串（同时请注意字符串中能包含 HTML 标记）：
<?php echo "<h2>PHP is fun!</h2>"; echo "Hello world!<br>"; echo "I'm about to learn PHP!<br>"; echo "This", " string", " was", " made", " with multiple parameters."; ?>
PHP print 语句
print 也是语言结构，有无括号均可使用：print 或 print()。
显示字符串
下面的例子展示如何用 print 命令来显示不同的字符串（同时请注意字符串中能包含 HTML 标记）：
<?php print "<h2>PHP is fun!</h2>"; print "Hello world!<br>"; print "I'm about to learn PHP!"; ?>
PHP 数据类型
字符串、整数、浮点数、逻辑、数组、对象、NULL。
PHP 字符串
字符串是字符序列，比如 "Hello world!"。
字符串可以是引号内的任何文本。您可以使用单引号或双引号：
PHP 整数
整数是没有小数的数字。
整数规则：
- 整数必须有至少一个数字（0-9）
- 整数不能包含逗号或空格
- 整数不能有小数点
- 整数正负均可
- 可以用三种格式规定整数：十进制、十六进制（前缀是 0x）或八进制（前缀是 0）
PHP 数组
数组在一个变量中存储多个值。
PHP var_dump() 会返回变量的数据类型和值：
PHP 对象
对象是存储数据和有关如何处理数据的信息的数据类型。
在 PHP 中，必须明确地声明对象。
??????
PHP 对象
对象是存储数据和有关如何处理数据的信息的数据类型。
在 PHP 中，必须明确地声明对象。
首先我们必须声明对象的类。对此，我们使用 class 关键词。类是包含属性和方法的结构。
然后我们在对象类中定义数据类型，然后在该类的实例中使用此数据类型：
实例
<?php
class Car
{
var $color;
function Car($color="green") {
$this->color = $color;
}
function what_color() {
return $this->color;
}
}
?>
PHP NULL 值
特殊的 NULL 值表示变量无值。NULL 是数据类型 NULL 唯一可能的值。
NULL 值标示变量是否为空。也用于区分空字符串与空值数据库。
可以通过把值设置为 NULL，将变量清空。
PHP strlen() 函数
strlen() 函数返回字符串的长度，以字符计。
提示：strlen() 常用于循环和其他函数，在确定字符串何时结束很重要时。（例如，在循环中，我们也许需要在字符串的最后一个字符之后停止循环）。PHP String 函数
实例
查找 "php" 在字符串中第一次出现的位置：
<?php
echo strpos("You love php, I love php too!","php");
?>
运行实例
定义和用法
strpos() 函数查找字符串在另一字符串中第一次出现的位置。
注释：strpos() 函数对大小写敏感。
注释：该函数是二进制安全的。
相关函数：
- stripos() - 查找字符串在另一字符串中第一次出现的位置（不区分大小写）
- strripos() - 查找字符串在另一字符串中最后一次出现的位置（不区分大小写）
- strrpos() - 查找字符串在另一字符串中最后一次出现的位置（区分大小写）
PHP 常量
常量类似变量，但是常量一旦被定义就无法更改或撤销定义。
常量是单个值的标识符（名称）。在脚本中无法改变该值。
有效的常量名以字符或下划线开头（常量名称前面没有 $ 符号）。
注释：与变量不同，常量贯穿整个脚本是自动全局的。
设置 PHP 常量
如需设置常量，请使用 define() 函数 - 它使用三个参数：
- 首个参数定义常量的名称
- 第二个参数定义常量的值
- 可选的第三个参数规定常量名是否对大小写敏感。默认是 false。
PHP 算数运算符
| 运算符 | 名称 | 例子 | 结果 |
|---|---|---|---|
| + | 加法 | $x + $y | $x 与 $y 求和 |
| - | 减法 | $x - $y | $x 与 $y 的差数 |
| * | 乘法 | $x * $y | $x 与 $y 的乘积 |
| / | 除法 | $x / $y | $x 与 $y 的商数 |
| % | 模数 | $x % $y | $x 除 $y 的余数 |
PHP 字符串运算符
| 运算符 | 名称 | 例子 | 结果 |
|---|---|---|---|
| . | 串接 | $txt1 = "Hello"$txt2 = $txt1 . " world!" | 现在 $txt2 包含 "Hello world!" |
| .= | 串接赋值 | $txt1 = "Hello"$txt1 .= " world!" | 现在 $txt1 包含 "Hello world!" |
PHP 递增/递减运算符
| 运算符 | 名称 | 描述 |
|---|---|---|
| ++$x | 前递增 | $x 加一递增，然后返回 $x |
| $x++ | 后递增 | 返回 $x，然后 $x 加一递增 |
| --$x | 前递减 | $x 减一递减，然后返回 $x |
| $x-- | 后递减 | 返回 $x，然后 $x 减一递减 |
PHP 比较运算符
PHP 比较运算符用于比较两个值（数字或字符串）：
| 运算符 | 名称 | 例子 | 结果 |
|---|---|---|---|
| == | 等于 | $x == $y | 如果 $x 等于 $y，则返回 true。 |
| === | 全等（完全相同） | $x === $y | 如果 $x 等于 $y，且它们类型相同，则返回 true。 |
| != | 不等于 | $x != $y | 如果 $x 不等于 $y，则返回 true。 |
| <> | 不等于 | $x <> $y | 如果 $x 不等于 $y，则返回 true。 |
| !== | 不全等（完全不同） | $x !== $y | 如果 $x 不等于 $y，且它们类型不相同，则返回 true。 |
| > | 大于 | $x > $y | 如果 $x 大于 $y，则返回 true。 |
| < | 大于 | $x < $y | 如果 $x 小于 $y，则返回 true。 |
| >= | 大于或等于 | $x >= $y | 如果 $x 大于或者等于 $y，则返回 true. |
| <= | 小于或等于 | $x <= $y | 如果 $x 小于或者等于 $y，则返回 true。 |
PHP 逻辑运算符
| 运算符 | 名称 | 例子 | 结果 |
|---|---|---|---|
| and | 与 | $x and $y | 如果 $x 和 $y 都为 true，则返回 true。 |
| or | 或 | $x or $y | 如果 $x 和 $y 至少有一个为 true，则返回 true。 |
| xor | 异或 | $x xor $y | 如果 $x 和 $y 有且仅有一个为 true，则返回 true。 |
| && | 与 | $x && $y | 如果 $x 和 $y 都为 true，则返回 true。 |
| || | 或 | $x || $y | 如果 $x 和 $y 至少有一个为 true，则返回 true。 |
| ! | 非 | !$x | 如果 $x 不为 true，则返回 true。 |
PHP 数组运算符
PHP 数组运算符用于比较数组：
| 运算符 | 名称 | 例子 | 结果 |
|---|---|---|---|
| + | 联合 | $x + $y | $x 和 $y 的联合（但不覆盖重复的键） |
| == | 相等 | $x == $y | 如果 $x 和 $y 拥有相同的键/值对，则返回 true。 |
| === | 全等 | $x === $y | 如果 $x 和 $y 拥有相同的键/值对，且顺序相同类型相同，则返回 true。 |
| != | 不相等 | $x != $y | 如果 $x 不等于 $y，则返回 true。 |
| <> | 不相等 | $x <> $y | 如果 $x 不等于 $y，则返回 true。 |
| !== | 不全等 | $x !== $y | 如果 $x 与 $y 完全不同，则返回 true。 |
PHP if...else...elseif 语句
条件语句用于基于不同条件执行不同的动作
PHP 条件语句
在您编写代码时，经常会希望为不同的决定执行不同的动作。您可以在代码中使用条件语句来实现这一点。
在 PHP 中，我们可以使用以下条件语句：
- if 语句 - 如果指定条件为真，则执行代码
- if...else 语句 - 如果条件为 true，则执行代码；如果条件为 false，则执行另一端代码
- if...elseif....else 语句 - 选择若干段代码块之一来执行
- switch 语句 - 语句多个代码块之一来执行
switch 语句用于基于不同条件执行不同动作。
Switch 语句
如果您希望有选择地执行若干代码块之一，请使用 Switch 语句。
使用 Switch 语句可以避免冗长的 if..elseif..else 代码块。
工作原理：
- 对表达式（通常是变量）进行一次计算
- 把表达式的值与结构中 case 的值进行比较
- 如果存在匹配，则执行与 case 关联的代码
- 代码执行后，break 语句阻止代码跳入下一个 case 中继续执行
- 如果没有 case 为真，则使用 default 语句
PHP while 循环
PHP while 循环在指定条件为 true 时执行代码块。
PHP 循环
在您编写代码时，经常需要反复运行同一代码块。我们可以使用循环来执行这样的任务，而不是在脚本中添加若干几乎相等的代码行。
在 PHP 中，我们有以下循环语句：
- while - 只要指定条件为真，则循环代码块
- do...while - 先执行一次代码块，然后只要指定条件为真则重复循环
- for - 循环代码块指定次数
- foreach - 遍历数组中的每个元素并循环代码块
请注意，do while 循环只在执行循环内的语句之后才对条件进行测试。这意味着 do while 循环至少会执行一次语句，即使条件测试在第一次就失败了。
下面的例子把 $x 设置为 6，然后运行循环，随后对条件进行检查：
实例
<?php
$x=6;
do {
echo "这个数字是：$x <br>";
$x++;
} while ($x<=5);
?>
PHP for 循环执行代码块指定的次数。
PHP for 循环
如果您已经提前确定脚本运行的次数，可以使用 for 循环。
PHP foreach 循环
foreach 循环只适用于数组，并用于遍历数组中的每个键/值对。
语法
foreach ($array as $value) {
code to be executed;
}
每进行一次循环迭代，当前数组元素的值就会被赋值给 $value 变量，并且数组指针会逐一地移动，直到到达最后一个数组元素。
PHP 函数
PHP 的真正力量来自它的函数：它拥有超过 1000 个内建的函数。
PHP 用户定义函数
除了内建的 PHP 函数，我们可以创建我们自己的函数。
函数是可以在程序中重复使用的语句块。
页面加载时函数不会立即执行。
函数只有在被调用时才会执行。
在 PHP 创建用户定义函数
用户定义的函数声明以关单 "function" 开头：
语法
function functionName() {
被执行的代码;
}
注释：函数名能够以字母或下划线开头（而非数字）。
注释：函数名对大小写不敏感。
提示：函数名应该能够反映函数所执行的任务。
在下面的例子中，我们创建名为 "writeMsg()" 的函数。打开的花括号（{）指示函数代码的开始，而关闭的花括号（}）指示函数的结束。
<?php
function writeMsg() {
echo "Hello world!";
}
writeMsg(); // 调用函数
?>
PHP 函数参数
可以通过参数向函数传递信息。参数类似变量。
参数被定义在函数名之后，括号内部。您可以添加任意多参数，只要用逗号隔开即可。
下面的例子中的函数有一个参数（$fname）。当调用 familyName() 函数时，我们同时要传递一个名字（例如 Bill），这样会输出不同的名字，但是姓氏相同：
实例
<?php
function familyName($fname) {
echo "$fname Zhang.<br>";
}
familyName("Li");
familyName("Hong");
familyName("Tao");
familyName("Xiao Mei");
familyName("Jian");
?>
PHP 默认参数值
下面的例子展示了如何使用默认参数。如果我们调用没有参数的 setHeight() 函数，它的参数会取默认值：
实例
<?php
function setHeight($minheight=50) {
echo "The height is : $minheight <br>";
}
setHeight(350);
setHeight(); // 将使用默认值 50
setHeight(135);
setHeight(80);
?>
PHP 函数 - 返回值
如需使函数返回值，请使用 return 语句：
实例
<?php
function sum($x,$y) {
$z=$x+$y;
return $z;
}
echo "5 + 10 = " . sum(5,10) . "<br>";
echo "7 + 13 = " . sum(7,13) . "<br>";
echo "2 + 4 = " . sum(2,4);
?>
上述示例输出结果：
5 + 10 = 15
7 + 13 = 20
2 + 4 = 6
PHP 数组
数组能够在单独的变量名中存储一个或多个值。
数组能够在单一变量名中存储许多值，并且您能够通过引用下标号来访问某个值。
在 PHP 中，有三种数组类型：
- 索引数组 - 带有数字索引的数组
- 关联数组 - 带有指定键的数组
- 多维数组 - 包含一个或多个数组的数组
下面的例子创建名为 $cars 的索引数组，为其分配三个元素，然后输出包含数组值的一段文本：
实例
<?php
$cars=array("Volvo","BMW","SAAB");
echo "I like " . $cars[0] . ", " . $cars[1] . " and " . $cars[2] . ".";
?>
运行实例
获得数组的长度 - count() 函数
count() 函数用于返回数组的长度（元素数）：
实例
<?php
$cars=array("Volvo","BMW","SAAB");
echo count($cars);
?>
运行实例
遍历索引数组
如需遍历并输出索引数组的所有值，您可以使用 for 循环，就像这样：
实例
<?php
$cars=array("Volvo","BMW","SAAB");
$arrlength=count($cars);
for($x=0;$x<$arrlength;$x++) {
echo $cars[$x];
echo "<br>";
}
?>
运行实例
PHP 关联数组
关联数组是使用您分配给数组的指定键的数组。
有两种创建关联数组的方法：
$age=array("Peter"=>"35","Ben"=>"37","Joe"=>"43");
或者：
$age['Peter']="35"; $age['Ben']="37"; $age['Joe']="43";
随后可以在脚本中使用指定键：
实例
<?php
$age=array("Bill"=>"35","Steve"=>"37","Peter"=>"43");
echo "Peter is " . $age['Peter'] . " years old.";
?>
运行实例
遍历关联数组
如需遍历并输出关联数组的所有值，您可以使用 foreach 循环，就像这样：
实例
<?php
$age=array("Bill"=>"35","Steve"=>"37","Peter"=>"43");
foreach($age as $x=>$x_value) {
echo "Key=" . $x . ", Value=" . $x_value;
echo "<br>";
}
?>
运行实例
数组中的元素能够以字母或数字顺序进行升序或降序排序。
PHP - 数组的排序函数
在本节中，我们将学习如下 PHP 数组排序函数：
- sort() - 以升序对数组排序
- rsort() - 以降序对数组排序
- asort() - 根据值，以升序对关联数组进行排序
- ksort() - 根据键，以升序对关联数组进行排序
- arsort() - 根据值，以降序对关联数组进行排序
- krsort() - 根据键，以降序对关联数组进行排序
根据键对数组进行降序排序 - krsort()
<!DOCTYPE html>
<html>
<body>
<?php
$age=array("Bill"=>"35","Steve"=>"37","Peter"=>"43");
krsort($age);
foreach($age as $x=>$x_value)
{
echo "Key=" . $x . ", Value=" . $x_value;
echo "<br>";
}
?>
</body>
</html>
PHP 全局变量 - 超全局变量
PHP 中的许多预定义变量都是“超全局的”，这意味着它们在一个脚本的全部作用域中都可用。在函数或方法中无需执行 global $variable; 就可以访问它们。
这些超全局变量是：
- $GLOBALS
- $_SERVER
- $_REQUEST
- $_POST
- $_GET
- $_FILES
- $_ENV
- $_COOKIE
- $_SESSION
下表列出了您能够在 $_SERVER 中访问的最重要的元素：
| 元素/代码 | 描述 |
|---|---|
| $_SERVER['PHP_SELF'] | 返回当前执行脚本的文件名。 |
| $_SERVER['GATEWAY_INTERFACE'] | 返回服务器使用的 CGI 规范的版本。 |
| $_SERVER['SERVER_ADDR'] | 返回当前运行脚本所在的服务器的 IP 地址。 |
| $_SERVER['SERVER_NAME'] | 返回当前运行脚本所在的服务器的主机名（比如 www.w3school.com.cn）。 |
| $_SERVER['SERVER_SOFTWARE'] | 返回服务器标识字符串（比如 Apache/2.2.24）。 |
| $_SERVER['SERVER_PROTOCOL'] | 返回请求页面时通信协议的名称和版本（例如，“HTTP/1.0”）。 |
| $_SERVER['REQUEST_METHOD'] | 返回访问页面使用的请求方法（例如 POST）。 |
| $_SERVER['REQUEST_TIME'] | 返回请求开始时的时间戳（例如 1577687494）。 |
| $_SERVER['QUERY_STRING'] | 返回查询字符串，如果是通过查询字符串访问此页面。 |
| $_SERVER['HTTP_ACCEPT'] | 返回来自当前请求的请求头。 |
| $_SERVER['HTTP_ACCEPT_CHARSET'] | 返回来自当前请求的 Accept_Charset 头（ 例如 utf-8,ISO-8859-1） |
| $_SERVER['HTTP_HOST'] | 返回来自当前请求的 Host 头。 |
| $_SERVER['HTTP_REFERER'] | 返回当前页面的完整 URL（不可靠，因为不是所有用户代理都支持）。 |
| $_SERVER['HTTPS'] | 是否通过安全 HTTP 协议查询脚本。 |
| $_SERVER['REMOTE_ADDR'] | 返回浏览当前页面的用户的 IP 地址。 |
| $_SERVER['REMOTE_HOST'] | 返回浏览当前页面的用户的主机名。 |
| $_SERVER['REMOTE_PORT'] | 返回用户机器上连接到 Web 服务器所使用的端口号。 |
| $_SERVER['SCRIPT_FILENAME'] | 返回当前执行脚本的绝对路径。 |
| $_SERVER['SERVER_ADMIN'] | 该值指明了 Apache 服务器配置文件中的 SERVER_ADMIN 参数。 |
| $_SERVER['SERVER_PORT'] | Web 服务器使用的端口。默认值为 “80”。 |
| $_SERVER['SERVER_SIGNATURE'] | 返回服务器版本和虚拟主机名。 |
| $_SERVER['PATH_TRANSLATED'] | 当前脚本所在文件系统（非文档根目录）的基本路径。 |
| $_SERVER['SCRIPT_NAME'] | 返回当前脚本的路径。 |
| $_SERVER['SCRIPT_URI'] | 返回当前页面的 URI。 |
PHP 超全局变量 $_GET 和 $_POST 用于收集表单数据（form-data）。
注意：在处理 PHP 表单时请关注安全！
GET vs. POST
GET 和 POST 都创建数组（例如，array( key => value, key2 => value2, key3 => value3, ...)）。此数组包含键/值对，其中的键是表单控件的名称，而值是来自用户的输入数据。
GET 和 POST 被视作 $_GET 和 $_POST。它们是超全局变量，这意味着对它们的访问无需考虑作用域 - 无需任何特殊代码，您能够从任何函数、类或文件访问它们。
$_GET 是通过 URL 参数传递到当前脚本的变量数组。
$_POST 是通过 HTTP POST 传递到当前脚本的变量数组。
何时使用 GET？
通过 GET 方法从表单发送的信息对任何人都是可见的（所有变量名和值都显示在 URL 中）。GET 对所发送信息的数量也有限制。限制在大于 2000 个字符。不过，由于变量显示在 URL 中，把页面添加到书签中也更为方便。
GET 可用于发送非敏感的数据。
注释：绝不能使用 GET 来发送密码或其他敏感信息！
何时使用 POST？
通过 POST 方法从表单发送的信息对其他人是不可见的（所有名称/值会被嵌入 HTTP 请求的主体中），并且对所发送信息的数量也无限制。
此外 POST 支持高阶功能，比如在向服务器上传文件时进行 multi-part 二进制输入。
不过，由于变量未显示在 URL 中，也就无法将页面添加到书签。
提示：开发者偏爱 POST 来发送表单数据。
如何使用 PHP 来验证表单数据。
PHP 表单验证
提示：在处理 PHP 表单时请重视安全性！
什么是 $_SERVER["PHP_SELF"] 变量？
$_SERVER["PHP_SELF"] 是一种超全局变量，它返回当前执行脚本的文件名。
因此，$_SERVER["PHP_SELF"] 将表单数据发送到页面本身，而不是跳转到另一张页面。这样，用户就能够在表单页面获得错误提示信息。
什么是 htmlspecialchars() 函数？
htmlspecialchars() 函数把特殊字符转换为 HTML 实体。这意味着 < 和 > 之类的 HTML 字符会被替换为 < 和 > 。这样可防止攻击者通过在表单中注入 HTML 或 JavaScript 代码（跨站点脚本攻击）对代码进行利用。
关于 PHP 表单安全性的重要提示
$_SERVER["PHP_SELF"] 变量能够被黑客利用！
如果您的页面使用了 PHP_SELF，用户能够输入下划线然后执行跨站点脚本（XSS）。
提示：跨站点脚本（Cross-site scripting，XSS）是一种计算机安全漏洞类型，常见于 Web 应用程序。XSS 能够使攻击者向其他用户浏览的网页中输入客户端脚本。
假设我们的一张名为 "test_form.php" 的页面中有如下表单：
<form method="post" action="<?php echo $_SERVER["PHP_SELF"];?>">
现在，如果用户进入的是地址栏中正常的 URL："http://www.example.com/test_form.php"，上面的代码会转换为：
<form method="post" action="test_form.php">
到目前，一切正常。
不过，如果用户在地址栏中键入了如下 URL：
http://www.example.com/test_form.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E
在这种情况下，上面的代码会转换为：
<form method="post" action="test_form.php"/><script>alert('hacked')</script>
这段代码加入了一段脚本和一个提示命令。并且当此页面加载后，就会执行 JavaScript 代码（用户会看到一个提示框）。这仅仅是一个关于 PHP_SELF 变量如何被利用的简单无害案例。
您应该意识到 <script> 标签内能够添加任何 JavaScript 代码！黑客能够把用户重定向到另一台服务器上的某个文件，该文件中的恶意代码能够更改全局变量或将表单提交到其他地址以保存用户数据，等等。
如果避免 $_SERVER["PHP_SELF"] 被利用？
通过使用 htmlspecialchars() 函数能够避免 $_SERVER["PHP_SELF"] 被利用。
表单代码是这样的：
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
htmlspecialchars() 函数把特殊字符转换为 HTML 实体。现在，如果用户试图利用 PHP_SELF 变量，会导致如下输出：
<form method="post" action="test_form.php/"><script>alert('hacked')</script>">
无法利用，没有危害！
通过 PHP 验证表单数据
我们要做的第一件事是通过 PHP 的 htmlspecialchars() 函数传递所有变量。
在我们使用 htmlspecialchars() 函数后，如果用户试图在文本字段中提交以下内容：
<script>location.href('http://www.hacked.com')</script>
- 代码不会执行，因为会被保存为转义代码，就像这样：
<script>location.href('http://www.hacked.com')</script>
现在这条代码显示在页面上或 e-mail 中是安全的。
在用户提交该表单时，我们还要做两件事：
- （通过 PHP trim() 函数）去除用户输入数据中不必要的字符（多余的空格、制表符、换行）
- （通过 PHP stripslashes() 函数）删除用户输入数据中的反斜杠（\）
接下来我们创建一个检查函数（相比一遍遍地写代码，这样效率更好）。
我们把函数命名为 test_input()。
现在，我们能够通过 test_input() 函数检查每个 $_POST 变量，脚本是这样的：
<!DOCTYPE HTML>
<html>
<head>
</head>
<body>
<?php
// define variables and set to empty values
$name = $email = $gender = $comment = $website = "";
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$name = test_input($_POST["name"]);
$email = test_input($_POST["email"]);
$website = test_input($_POST["website"]);
$comment = test_input($_POST["comment"]);
$gender = test_input($_POST["gender"]);
}
function test_input($data) {
$data = trim($data);
$data = stripslashes($data);
$data = htmlspecialchars($data);
return $data;
}
?>
<h2>PHP 验证实例</h2>
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
姓名：<input type="text" name="name">
<br><br>
电邮：<input type="text" name="email">
<br><br>
网址：<input type="text" name="website">
<br><br>
评论：<textarea name="comment" rows="5" cols="40"></textarea>
<br><br>
性别：
<input type="radio" name="gender" value="female">女性
<input type="radio" name="gender" value="male">男性
<br><br>
<input type="submit" name="submit" value="提交">
</form>
<?php
echo "<h2>您的输入：</h2>";
echo $name;
echo "<br>";
echo $email;
echo "<br>";
echo $website;
echo "<br>";
echo $comment;
echo "<br>";
echo $gender;
?>
</body>
</html>
制作必填输入字段，并创建需要时所用的错误消息。运行实例
<!DOCTYPE HTML>
<html>
<head>
<style>
.error {color: #FF0000;}
</style>
</head>
<body>
<?php
// 定义变量并设置为空值
$nameErr = $emailErr = $genderErr = $websiteErr = "";
$name = $email = $gender = $comment = $website = "";
if ($_SERVER["REQUEST_METHOD"] == "POST") {
if (empty($_POST["name"])) {
$nameErr = "姓名是必填的";
} else {
$name = test_input($_POST["name"]);
}
if (empty($_POST["email"])) {
$emailErr = "电邮是必填的";
} else {
$email = test_input($_POST["email"]);
}
if (empty($_POST["website"])) {
$website = "";
} else {
$website = test_input($_POST["website"]);
}
if (empty($_POST["comment"])) {
$comment = "";
} else {
$comment = test_input($_POST["comment"]);
}
if (empty($_POST["gender"])) {
$genderErr = "性别是必选的";
} else {
$gender = test_input($_POST["gender"]);
}
}
function test_input($data) {
$data = trim($data);
$data = stripslashes($data);
$data = htmlspecialchars($data);
return $data;
}
?>
<h2>PHP 验证实例</h2>
<p><span class="error">* 必需的字段</span></p>
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
姓名：<input type="text" name="name">
<span class="error">* <?php echo $nameErr;?></span>
<br><br>
电邮：<input type="text" name="email">
<span class="error">* <?php echo $emailErr;?></span>
<br><br>
网址：<input type="text" name="website">
<span class="error"><?php echo $websiteErr;?></span>
<br><br>
评论：<textarea name="comment" rows="5" cols="40"></textarea>
<br><br>
性别：
<input type="radio" name="gender" value="female">女性
<input type="radio" name="gender" value="male">男性
<span class="error">* <?php echo $genderErr;?></span>
<br><br>
<input type="submit" name="submit" value="提交">
</form>
<?php
echo "<h2>您的输入：</h2>";
echo $name;
echo "<br>";
echo $email;
echo "<br>";
echo $website;
echo "<br>";
echo $comment;
echo "<br>";
echo $gender;
?>
</body>
</html>接下来是验证输入数据，即“
Name 字段是否只包含字母和空格？”，以及“
E-mail 字段是否包含有效的电子邮件地址语法？”，并且如果填写了 Website 字段，“
这个字段是否包含了有效的 URL？”。
如何验证名字、电邮和 URL。（具体细节？？？？去学习正则表达式中的基础知识。）
PHP - 验证名字
以下代码展示的简单方法检查 name 字段是否包含字母和空格。如果 name 字段无效，则存储一条错误消息：
$name = test_input($_POST["name"]);
if (!preg_match("/^[a-zA-Z ]*$/",$name)) {
$nameErr = "只允许字母和空格！";
}
PHP - 验证Email.
以下代码展示的简单方法检查 e-mail 地址语法是否有效。如果无效则存储一条错误消息：
$email = test_input($_POST["email"]);
if (!preg_match("/([\w\-]+\@[\w\-]+\.[\w\-]+)/",$email)) {
$emailErr = "无效的 email 格式！";
}
PHP - 验证 URL
以下代码展示的方法检查 URL 地址语法是否有效（这条正则表达式同时允许 URL 中的斜杠）。如果 URL 地址语法无效，则存储一条错误消息：
$website = test_input($_POST["website"]);
if (!preg_match("/\b(?:(?:https?|ftp):\/\/|www\.)[-a-z0-9+&@#\/%?=~_|!:,.;]*[-a-z0-9+&@#\/%
=~_|]/i",$website)) {
$websiteErr = "无效的 URL";
}
PHP—验证Name ,E-mail,以及URL的方法同理，只是规则有些不同。
PHP—保留表单中的值。
如需在用户点击提交按钮后在输入字段中显示值，我们在以下输入字段的 value 属性中增加了一小段 PHP 脚本：name、email 以及 website。在 comment 文本框字段中，我们把脚本放到了 <textarea> 与 </textarea> 之间。这些脚本输出 $name、$email、$website 和 $comment 变量的值。
然后，我们还需要显示选中了哪个单选按钮。对此，我们必须操作 checked 属性（而非单选按钮的 value 属性）：
PHP - 完整的表单实例
下面是 PHP 表单验证实例的完整代码：
<!DOCTYPE HTML>
<html>
<head>
<style>
.error {color: #FF0000;}
</style>
</head>
<body>
<?php
// 定义变量并设置为空值
$nameErr = $emailErr = $genderErr = $websiteErr = "";
$name = $email = $gender = $comment = $website = "";
if ($_SERVER["REQUEST_METHOD"] == "POST") {
if (empty($_POST["name"])) {
$nameErr = "姓名是必填的";
} else {
$name = test_input($_POST["name"]);
// 检查姓名是否包含字母和空白字符
if (!preg_match("/^[a-zA-Z ]*$/",$name)) {
$nameErr = "只允许字母和空格";
}
}
if (empty($_POST["email"])) {
$emailErr = "电邮是必填的";
} else {
$email = test_input($_POST["email"]);
// 检查电子邮件地址语法是否有效
if (!preg_match("/([\w\-]+\@[\w\-]+\.[\w\-]+)/",$email)) {
$emailErr = "无效的 email 格式";
}
}
if (empty($_POST["website"])) {
$website = "";
} else {
$website = test_input($_POST["website"]);
// 检查 URL 地址语法是否有效（正则表达式也允许 URL 中的斜杠）
if (!preg_match("/\b(?:(?:https?|ftp):\/\/|www\.)[-a-z0-9+&@#\/%?=~_|!:,.;]*[-a-z0-9+&@#\/%=~_|]/i",$website)) {
$websiteErr = "无效的 URL";
}
}
if (empty($_POST["comment"])) {
$comment = "";
} else {
$comment = test_input($_POST["comment"]);
}
if (empty($_POST["gender"])) {
$genderErr = "性别是必选的";
} else {
$gender = test_input($_POST["gender"]);
}
}
function test_input($data) {
$data = trim($data);
$data = stripslashes($data);
$data = htmlspecialchars($data);
return $data;
}
?>
<h2>PHP 验证实例</h2>
<p><span class="error">* 必需的字段</span></p>
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
姓名：<input type="text" name="name">
<span class="error">* <?php echo $nameErr;?></span>
<br><br>
电邮：<input type="text" name="email">
<span class="error">* <?php echo $emailErr;?></span>
<br><br>
网址：<input type="text" name="website">
<span class="error"><?php echo $websiteErr;?></span>
<br><br>
评论：<textarea name="comment" rows="5" cols="40"></textarea>
<br><br>
性别：
<input type="radio" name="gender" value="female">女性
<input type="radio" name="gender" value="male">男性
<span class="error">* <?php echo $genderErr;?></span>
<br><br>
<input type="submit" name="submit" value="提交">
</form>
<?php
echo "<h2>您的输入：</h2>";
echo $name;
echo "<br>";
echo $email;
echo "<br>";
echo $website;
echo "<br>";
echo $comment;
echo "<br>";
echo $gender;
?>
</body>
</html>
PHP - 多维数组
多维数组指的是包含一个或多个数组的数组。
PHP 能理解两、三、四或五级甚至更多级的多维数组。不过，超过三级深的数组对于大多数人难于管理。
注释：数组的维度指示您需要选择元素的索引数。
- 对于二维数组，您需要两个索引来选取元素
- 对于三维数组，您需要三个索引来选取元素
<!DOCTYPE html>
<html>
<body>
<?php
$cars = array
(
array("Volvo",33,20),
array("BMW",17,15),
array("Saab",5,2),
array("Land Rover",15,11)
);
for ($row = 0; $row < 4; $row++) {
echo "<p><b>行数 $row</b></p>";
echo "<ul>";
for ($col = 0; $col < 3; $col++) {
echo "<li>".$cars[$row][$col]."</li>";
}
echo "</ul>";
}
?>
</body>
</html>
PHP date() 函数用于对日期或时间进行格式化。PHP Date() 函数
PHP Date() 函数把时间戳格式化为更易读的日期和时间。
语法
date(format,timestamp)
| 参数 | 描述 |
|---|---|
| format | 必需。规定时间戳的格式。 |
| timestamp | 可选。规定时间戳。默认是当前时间和日期。 |
获得简单的日期
date() 函数的格式参数是必需的，它们规定如何格式化日期或时间。
下面列出了一些常用于日期的字符：
- d - 表示月里的某天（01-31）
- m - 表示月（01-12）
- Y - 表示年（四位数）
- 1 - 表示周里的某天
其他字符，比如 "/", "." 或 "-" 也可被插入字符中，以增加其他格式。
获得简单的时间
下面是常用于时间的字符：
- h - 带有首位零的 12 小时小时格式
- i - 带有首位零的分钟
- s - 带有首位零的秒（00 -59）
- a - 小写的午前和午后（am 或 pm）
通过 PHP mktime() 创建日期
date() 函数中可选的时间戳参数规定时间戳。如果您未规定时间戳，将使用当前日期和时间（正如上例中那样）。
mktime() 函数返回日期的 Unix 时间戳。Unix 时间戳包含 Unix 纪元（1970 年 1 月 1 日 00:00:00 GMT）与指定时间之间的秒数。
语法
mktime(hour,minute,second,month,day,year)
更多日期实例
下例输出下周六的日期：
实例
<?php
$startdate = strtotime("Saturday");
$enddate = strtotime("+6 weeks",$startdate);
while ($startdate < $enddate) {
echo date("M d", $startdate),"<br>";
$startdate = strtotime("+1 week", $startdate);
}
?>
下例输出七月四日之前的天数：
实例
<?php
$d1=strtotime("December 31");
$d2=ceil(($d1-time())/60/60/24);
echo "距离十二月三十一日还有：" . $d2 ." 天。";
?>
ceil() 函数向上舍入为最接近的整数。
语法
ceil(x)
| 参数 | 描述 |
|---|---|
| x | 必需。一个数。 |
说明
返回不小于 x 的下一个整数，x 如果有小数部分则进一位。ceil() 返回的类型仍然是 float，因为 float 值的范围通常比 integer 要大。
服务器端包含 (SSI) 用于创建可在多个页面重复使用的函数、页眉、页脚或元素。
include （或 require）语句会获取指定文件中存在的所有文本/代码/标记，并复制到使用 include 语句的文件中。
包含文件很有用，如果您需要在网站的多张页面上引用相同的 PHP、HTML 或文本的话。
PHP include 和 require 语句
通过 include 或 require 语句，可以将 PHP 文件的内容插入另一个 PHP 文件（在服务器执行它之前）。
include 和 require 语句是相同的，除了错误处理方面：
- require 会生成致命错误（E_COMPILE_ERROR）并停止脚本
- include 只生成警告（E_WARNING），并且脚本会继续
因此，如果您希望即使包含文件已丢失，仍然继续执行，并向用户输出结果，那么请使用 include。否则，在框架、CMS 或者复杂的 PHP 应用程序编程中，请始终使用 require 向执行流引用关键文件。这有助于提高应用程序的安全性和完整性，在某个关键文件意外丢失的情况下。
包含文件省去了大量的工作。这意味着您可以为所有页面创建标准页头、页脚或者菜单文件。然后，在页头需要更新时，您只需更新这个页头包含文件即可。
注释：
请在此时使用 require：当文件被应用程序请求时。
请在此时使用 include：当文件不是必需的，且应用程序在文件未找到时应该继续运行时。
PHP 操作文件
PHP 拥有的多种函数可供创建、读取、上传以及编辑文件。
注意：请谨慎操作文件！
当您操作文件时必须非常小心。如果您操作失误，可能会造成非常严重的破坏。常见的错误是：
- 编辑错误的文件
- 被垃圾数据填满硬盘
- 意外删除文件内容
在本节中，我们向您讲解如何在服务器上打开、读取以及关闭文件。
PHP Open File - fopen()
PHP Filesystem 简介
Filesystem 函数允许您访问和操作文件系统。
PHP 读取单行文件 - fgets()
fgets() 函数用于从文件读取单行。
下例输出 "webdictionary.txt" 文件的首行：
实例
<?php
$myfile = fopen("webdictionary.txt", "r") or die("Unable to open file!");
echo fgets($myfile);
fclose($myfile);
?>
运行实例
注释：调用 fgets() 函数之后，文件指针会移动到下一行。
PHP 检查 End-Of-File - feof()
feof() 函数检查是否已到达 "end-of-file" (EOF)。
feof() 对于遍历未知长度的数据很有用。
下例逐行读取 "webdictionary.txt" 文件，直到 end-of-file：
实例
<?php
$myfile = fopen("webdictionary.txt", "r") or die("Unable to open file!");
// 输出单行直到 end-of-file
while(!feof($myfile)) {
echo fgets($myfile) . "<br>";
}
fclose($myfile);
?>
运行实例
PHP 读取单字符 - fgetc()
fgetc() 函数用于从文件中读取单个字符。
下例逐字符读取 "webdictionary.txt" 文件，直到 end-of-file：
实例
<?php
$myfile = fopen("webdictionary.txt", "r") or die("Unable to open file!");
// 输出单字符直到 end-of-file
while(!feof($myfile)) {
echo fgetc($myfile);
}
fclose($myfile);
?>
运行实例
注释：在调用 fgetc() 函数之后，文件指针会移动到下一个字符。
安装
Filesystem 函数是 PHP 核心的组成部分。无需安装即可使用这些函数。
Runtime 配置
文件系统函数的行为受到 php.ini 中设置的影响。
文件系统配置选项：
| 名称 | 默认 | 描述 | 可改变 |
|---|---|---|---|
| allow_url_fopen | "1" | 本选项激活了 URL 形式的 fopen 封装协议使得可以访问 URL 对象例如文件。默认的封装协议提供用 ftp 和 http 协议来访问远程文件，一些扩展库例如 zlib 可能会注册更多的封装协议。 （PHP 4.0.4 版以后可用。） |
PHP_INI_SYSTEM |
| user_agent | NULL | 定义 PHP 发送的 User-Agent。 （PHP 4.3.0 版以后可用。） |
PHP_INI_ALL |
| default_socket_timeout | "60" | 基于 socket 的流的默认超时时间(秒)。 （PHP 4.3.0 版以后可用。） |
PHP_INI_ALL |
| from | "" | 定义匿名 ftp 的密码（您的 email 地址）。 | PHP_INI_ALL |
| auto_detect_line_endings | "0" | 当设为 On 时，PHP 将检查通过 fgets() 和 file() 取得的数据中的行结束符号是符合 Unix，MS-DOS，还是 Macintosh 的习惯。 这使得 PHP 可以和 Macintosh 系统交互操作，但是默认值是 Off，因为在检测第一行的 EOL 习惯时会有很小的性能损失，而且在 Unix 系统下使用回车符号作为项目分隔符的人们会遭遇向下不兼容的行为。 （PHP 4.3.0 版以后可用。） |
PHP_INI_ALL |
Unix / Windows 兼容性
当在 Unix 平台上规定路径时，正斜杠 (/) 用作目录分隔符。而在 Windows 平台上，正斜杠 (/) 和反斜杠 (\) 均可使用。
PHP 文件上传
通过 PHP，可以把文件上传到服务器。
创建一个文件上传表单
<html> <body> <form action="upload_file.php" method="post" enctype="multipart/form-data"> <label for="file">Filename:</label> <input type="file" name="file" id="file" /> <br /> <input type="submit" name="submit" value="Submit" /> </form> </body> </html>
form> 标签的 enctype 属性规定了在提交表单时要使用哪种内容类型。在表单需要二进制数据时，比如文件内容，请使用 "multipart/form-data"。
<input> 标签的 type="file" 属性规定了应该把输入作为文件来处理。举例来说，当在浏览器中预览时，会看到输入框旁边有一个浏览按钮。
注释：允许用户上传文件是一个巨大的安全风险。请仅仅允许可信的用户执行文件上传操作。
第一个参数是表单的 input name，第二个下标可以是 "name", "type", "size", "tmp_name" 或 "error"。就像这样：
- $_FILES["file"]["name"] - 被上传文件的名称
- $_FILES["file"]["type"] - 被上传文件的类型
- $_FILES["file"]["size"] - 被上传文件的大小，以字节计
- $_FILES["file"]["tmp_name"] - 存储在服务器的文件的临时副本的名称
- $_FILES["file"]["error"] - 由文件上传导致的错误代码
注释：这个例子把文件保存到了名为 "upload" 的新文件夹。
<?php
if ((($_FILES["file"]["type"] == "image/gif")
|| ($_FILES["file"]["type"] == "image/jpeg")
|| ($_FILES["file"]["type"] == "image/pjpeg"))
&& ($_FILES["file"]["size"] < 20000))
{
if ($_FILES["file"]["error"] > 0)
{
echo "Return Code: " . $_FILES["file"]["error"] . "<br />";
}
else
{
echo "Upload: " . $_FILES["file"]["name"] . "<br />";
echo "Type: " . $_FILES["file"]["type"] . "<br />";
echo "Size: " . ($_FILES["file"]["size"] / 1024) . " Kb<br />";
echo "Temp file: " . $_FILES["file"]["tmp_name"] . "<br />";
if (file_exists("upload/" . $_FILES["file"]["name"]))
{
echo $_FILES["file"]["name"] . " already exists. ";
}
else
{
move_uploaded_file($_FILES["file"]["tmp_name"],
"upload/" . $_FILES["file"]["name"]);
echo "Stored in: " . "upload/" . $_FILES["file"]["name"];
}
}
}
else
{
echo "Invalid file";
}
?>
PHP Cookies
什么是 Cookie？
cookie 常用于识别用户。cookie 是服务器留在用户计算机中的小文件。每当相同的计算机通过浏览器请求页面时，它同时会发送 cookie。通过 PHP，您能够创建并取回 cookie 的值。
setcookie() 函数用于设置 cookie。
注释：setcookie() 函数必须位于 <html> 标签之前。
语法
setcookie(name, value, expire, path, domain);
PHP Sessions
PHP session 变量用于存储有关用户会话的信息，或更改用户会话的设置。Session 变量保存的信息是单一用户的，并且可供应用程序中的所有页面使用。
Session 的工作机制是：为每个访问者创建一个唯一的 id (UID)，并基于这个 UID 来存储变量。UID 存储在 cookie 中，亦或通过 URL 进行传导。
PHP 发送电子邮件
PHP 允许您从脚本直接发送电子邮件。
PHP mail() 函数
PHP mail() 函数用于从脚本中发送电子邮件。
语法
mail(to,subject,message,headers,parameters)
| 参数 | 描述 |
|---|---|
| to | 必需。规定 email 接收者。 |
| subject | 必需。规定 email 的主题。注释：该参数不能包含任何新行字符。 |
| message | 必需。定义要发送的消息。应使用 LF (\n) 来分隔各行。 |
| headers | 可选。规定附加的标题，比如 From、Cc 以及 Bcc。 应当使用 CRLF (\r\n) 分隔附加的标题。 |
| parameters | 可选。对邮件发送程序规定额外的参数。 |
注释：PHP 需要一个已安装且正在运行的邮件系统，以便使邮件函数可用。所用的程序通过在 php.ini 文件中的配置设置进行定义。请在我们的PHP Mail 参考手册阅读更多内容。
<strong><span style="color:#FF0000;">PHP测试成功的邮件发送案例????????需要测试</span></strong> mail()函数的作用：连接到邮件服务器，利用smtp协议，与该服务器交互并投邮件。 注意： 1、mail函数不支持esmtp协议,---即,只能直投,不能登陆 2、由上条,我们只能直投至最终的收件服务器地址.而该地址,又是在PHP.ini中指定的,所以我们想用mail()函数往 [email protected]发信的话,我们要--- 1）查询163邮件服务器的地址 2）把该地址写到php.ini里去 php实例代码如下: ? 1 2 3 SMTP = 163mx02.mxmail.netease.com sendmail_from = [email protected] var_dump(mail('[email protected]','from php mail function','very intresting')); 但是使用php自带的mail函数发送邮件我们需要在linux中安装一个sendmail组件才可以否则无法使用。 如果你没有这个sendmail组件我们可以使用phpmailer函数来操作，例子代码如下： ? 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 <?php require('./PHPMailer/class.phpmailer.php'); $phpmailer = new PHPMailer(); $phpmailer->IsSMTP(); $phpmailer->Host = 'smtp.163.com'; $phpmailer->SMTPAuth = true; $phpmailer->Username = ''; $phpmailer->Password = ''; $phpmailer->CharSet = 'utf-8'; $phpmailer->From = ''; $phpmailer->FromName = ''; $phpmailer->Subject = ''; $phpmailer->Body = ''; $phpmailer->AddAddress('[email protected]','Aseoe'); echo $phpmailer->send()?'发送成功':'发送失败'; ?> 上面不带内容，面看个带内容的，代码如下： ? 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 <?php /** 用PHPMailer类来发信 步骤: 0: 引入 1: 实例化 2: 配置属性 3: 调用发送 **/ require('./PHPMailer/class.phpmailer.php'); $phpmailer = new PHPMailer(); /* 设置phpmailer发信用的方式 可用用win下mail()函数来发 可以用linux下sendmail,qmail组件来发 可以利用smtp协议登陆到某个账户上,来发 */ $phpmailer->IsSMTP(); // 用smtp协议来发 $phpmailer->Host = 'smtp.163.com'; $phpmailer->SMTPAuth = true; $phpmailer->Username = ''; //发送邮箱的账号（用163邮箱发信的账号） $phpmailer->Password = ''; //发送邮箱的密码 // 可以发信了 $phpmailer->CharSet='utf-8'; $phpmailer->From = '[email protected]'; $phpmailer->FromName = 'neverkill'; $phpmailer->Subject = 'Superstart Aseoe'; $phpmailer->Body = '脚本之家（http://www.jb51.net 专注前端开发与编程设计.'; //设置收信人 $phpmailer->AddAddress('[email protected]','neverkill'); // 添加一个抄送 $phpmailer->AddCC('1234567','Aseoe'); // 发信 echo $phpmailer->send()?'ok':'fail'; 补充一个使用上面例子的方法： 直接将phpmailer压缩包解压放到根目录即可运行，直接把文件放到本地wamp 根目录，运行02.php 邮件即可发出（前提php文件可执行）-（不行的话 在根目录建一个文件夹 重复操作一次）http://localhost/02.php。
PHP 防止 E-mail 注入模板代码
<html>
<body>
<?php
function spamcheck($field)
{
//filter_var() sanitizes the e-mail
//address using FILTER_SANITIZE_EMAIL
$field=filter_var($field, FILTER_SANITIZE_EMAIL);
//filter_var() validates the e-mail
//address using FILTER_VALIDATE_EMAIL
if(filter_var($field, FILTER_VALIDATE_EMAIL))
{
return TRUE;
}
else
{
return FALSE;
}
}
if (isset($_REQUEST['email']))
{//if "email" is filled out, proceed
//check if the email address is invalid
$mailcheck = spamcheck($_REQUEST['email']);
if ($mailcheck==FALSE)
{
echo "Invalid input";
}
else
{//send email
$email = $_REQUEST['email'] ;
$subject = $_REQUEST['subject'] ;
$message = $_REQUEST['message'] ;
mail("[email protected]", "Subject: $subject",
$message, "From: $email" );
echo "Thank you for using our mail form";
}
}
else
{//if "email" is not filled out, display the form
echo "<form method='post' action='mailform.php'>
Email: <input name='email' type='text' /><br />
Subject: <input name='subject' type='text' /><br />
Message:<br />
<textarea name='message' rows='15' cols='40'>
</textarea><br />
<input type='submit' />
</form>";
}
?>
</body>
</html>
在上面的代码中，我们使用了 PHP 过滤器来对输入进行验证：
- FILTER_SANITIZE_EMAIL 从字符串中删除电子邮件的非法字符
- FILTER_VALIDATE_EMAIL 验证电子邮件地址
PHP 错误处理
在 PHP 中，默认的错误处理很简单。一条消息会被发送到浏览器，这条消息带有文件名、行号以及一条描述错误的消息。
在创建脚本和 web 应用程序时，错误处理是一个重要的部分。如果您的代码缺少错误检测编码，那么程序看上去很不专业，也为安全风险敞开了大门。
本教程介绍了 PHP 中一些最为重要的错误检测方法。
我们将为您讲解不同的错误处理方法：
- 简单的 "die()" 语句
- 自定义错误和错误触发器
- 错误报告
基本的错误处理：使用 die() 函数
第一个例子展示了一个打开文本文件的简单脚本：
<?php
$file=fopen("welcome.txt","r");
?>
如果文件不存在，您会获得类似这样的错误：
Warning: fopen(welcome.txt) [function.fopen]: failed to open stream: No such file or directory in C:\webfolder\test.php on line 2
为了避免用户获得类似上面的错误消息，我们在访问文件之前检测该文件是否存在：
<?php
if(!file_exists("welcome.txt"))
{
die("File not found");
}
else
{
$file=fopen("welcome.txt","r");
}
?>
现在，假如文件不存在，您会得到类似这样的错误消息：
File not found
比起之前的代码，上面的代码更有效，这是由于它采用了一个简单的错误处理机制在错误之后终止了脚本。
不过，简单地终止脚本并不总是恰当的方式。让我们研究一下用于处理错误的备选的 PHP 函数。
创建自定义错误处理器
创建一个自定义的错误处理器非常简单。我们很简单地创建了一个专用函数，可以在 PHP 中发生错误时调用该函数。
该函数必须有能力处理至少两个参数 (error level 和 error message)，但是可以接受最多五个参数（可选的：file, line-number 以及 error context）：
语法
error_function(error_level,error_message, error_file,error_line,error_context)
| 参数 | 描述 |
|---|---|
| error_level | 必需。为用户定义的错误规定错误报告级别。必须是一个值数。 参见下面的表格：错误报告级别。 |
| error_message | 必需。为用户定义的错误规定错误消息。 |
| error_file | 可选。规定错误在其中发生的文件名。 |
| error_line | 可选。规定错误发生的行号。 |
| error_context | 可选。规定一个数组，包含了当错误发生时在用的每个变量以及它们的值。 |
错误报告级别
这些错误报告级别是错误处理程序旨在处理的错误的不同的类型：
| 值 | 常量 | 描述 |
|---|---|---|
| 2 | E_WARNING | 非致命的 run-time 错误。不暂停脚本执行。 |
| 8 | E_NOTICE | Run-time 通知。 脚本发现可能有错误发生，但也可能在脚本正常运行时发生。 |
| 256 | E_USER_ERROR | 致命的用户生成的错误。这类似于程序员使用 PHP 函数 trigger_error() 设置的 E_ERROR。 |
| 512 | E_USER_WARNING | 非致命的用户生成的警告。这类似于程序员使用 PHP 函数 trigger_error() 设置的 E_WARNING。 |
| 1024 | E_USER_NOTICE | 用户生成的通知。这类似于程序员使用 PHP 函数 trigger_error() 设置的 E_NOTICE。 |
| 4096 | E_RECOVERABLE_ERROR | 可捕获的致命错误。类似 E_ERROR，但可被用户定义的处理程序捕获。(参见 set_error_handler()) |
| 8191 | E_ALL | 所有错误和警告，除级别 E_STRICT 以外。 （在 PHP 6.0，E_STRICT 是 E_ALL 的一部分） |
现在，让我们创建一个处理错误的函数：
function customError($errno, $errstr)
{
echo "<b>Error:</b> [$errno] $errstr<br />";
echo "Ending Script";
die();
}
上面的代码是一个简单的错误处理函数。当它被触发时，它会取得错误级别和错误消息。然后它会输出错误级别和消息，并终止脚本。
现在，我们已经创建了一个错误处理函数，我们需要确定在何时触发该函数。
Set Error Handler
PHP 的默认错误处理程序是内建的错误处理程序。我们打算把上面的函数改造为脚本运行期间的默认错误处理程序。
可以修改错误处理程序，使其仅应用到某些错误，这样脚本就可以不同的方式来处理不同的错误。不过，在本例中，我们打算针对所有错误来使用我们的自定义错误处理程序：
set_error_handler("customError");
由于我们希望我们的自定义函数来处理所有错误，set_error_handler() 仅需要一个参数，可以添加第二个参数来规定错误级别。
实例
通过尝试输出不存在的变量，来测试这个错误处理程序：
<?php
//error handler function
function customError($errno, $errstr)
{
echo "<b>Error:</b> [$errno] $errstr";
}
//set error handler
set_error_handler("customError");
//trigger error
echo($test);
?>
以上代码的输出应该类似这样：
Error: [8] Undefined variable: test
触发错误
在脚本中用户输入数据的位置，当用户的输入无效时触发错误的很有用的。在 PHP 中，这个任务由 trigger_error() 完成。
例子
在本例中，如果 "test" 变量大于 "1"，就会发生错误：
<?php
$test=2;
if ($test>1)
{
trigger_error("Value must be 1 or below");
}
?>
以上代码的输出应该类似这样：
Notice: Value must be 1 or below in C:\webfolder\test.php on line 6
您可以在脚本中任何位置触发错误，通过添加的第二个参数，您能够规定所触发的错误级别。
可能的错误类型：
- E_USER_ERROR - 致命的用户生成的 run-time 错误。错误无法恢复。脚本执行被中断。
- E_USER_WARNING - 非致命的用户生成的 run-time 警告。脚本执行不被中断。
- E_USER_NOTICE - 默认。用户生成的 run-time 通知。脚本发现了可能的错误，也有可能在脚本运行正常时发生。
例子
在本例中，如果 "test" 变量大于 "1"，则发生 E_USER_WARNING 错误。如果发生了 E_USER_WARNING，我们将使用我们的自定义错误处理程序并结束脚本：
<?php
//error handler function
function customError($errno, $errstr)
{
echo "<b>Error:</b> [$errno] $errstr<br />";
echo "Ending Script";
die();
}
//set error handler
set_error_handler("customError",E_USER_WARNING);
//trigger error
$test=2;
if ($test>1)
{
trigger_error("Value must be 1 or below",E_USER_WARNING);
}
?>
以上代码的输出应该类似这样：
Error: [512] Value must be 1 or below Ending Script
现在，我们已经学习了如何创建自己的 error，以及如何触发它们，现在我们研究一下错误记录。
错误记录
默认地，根据在 php.ini 中的 error_log 配置，PHP 向服务器的错误记录系统或文件发送错误记录。通过使用 error_log() 函数，您可以向指定的文件或远程目的地发送错误记录。
通过电子邮件向您自己发送错误消息，是一种获得指定错误的通知的好办法。
通过 E-Mail 发送错误消息
在下面的例子中，如果特定的错误发生，我们将发送带有错误消息的电子邮件，并结束脚本：
<?php
//error handler function
function customError($errno, $errstr)
{
echo "<b>Error:</b> [$errno] $errstr<br />";
echo "Webmaster has been notified";
error_log("Error: [$errno] $errstr",1,
"[email protected]","From: [email protected]");
}
//set error handler
set_error_handler("customError",E_USER_WARNING);
//trigger error
$test=2;
if ($test>1)
{
trigger_error("Value must be 1 or below",E_USER_WARNING);
}
?>
以上代码的输出应该类似这样：
Error: [512] Value must be 1 or below Webmaster has been notified
接收自以上代码的邮件类似这样：
Error: [512] Value must be 1 or below
这个方法不适合所有的错误。常规错误应当通过使用默认的 PHP 记录系统在服务器上进行记录。
PHP 异常处理
当异常被触发时，通常会发生：
- 当前代码状态被保存
- 代码执行被切换到预定义的异常处理器函数
- 根据情况，处理器也许会从保存的代码状态重新开始执行代码，终止脚本执行，或从代码中另外的位置继续执行脚本
我们将展示不同的错误处理方法：
- 异常的基本使用
- 创建自定义的异常处理器
- 多个异常
- 重新抛出异常
- 设置顶层异常处理器
异常的基本使用
当异常被抛出时，其后的代码不会继续执行，PHP 会尝试查找匹配的 "catch" 代码块。
如果异常没有被捕获，而且又没用使用 set_exception_handler() 作相应的处理的话，那么将发生一个严重的错误（致命错误），并且输出 "Uncaught Exception" （未捕获异常）的错误消息。
让我们尝试抛出一个异常，同时不去捕获它：
Try, throw 和 catch
要避免上面例子出现的错误，我们需要创建适当的代码来处理异常。
正确的处理程序应当包括：
- Try - 使用异常的函数应该位于 "try" 代码块内。如果没有触发异常，则代码将照常继续执行。但是如果异常被触发，会抛出一个异常。
- Throw - 这里规定如何触发异常。每一个 "throw" 必须对应至少一个 "catch"
- Catch - "catch" 代码块会捕获异常，并创建一个包含异常信息的对象
让我们触发一个异常：
<?php
//创建可抛出一个异常的函数
function checkNum($number)
{
if($number>1)
{
throw new Exception("Value must be 1 or below");
}
return true;
}
//在 "try" 代码块中触发异常
try
{
checkNum(2);
//If the exception is thrown, this text will not be shown
echo 'If you see this, the number is 1 or below';
}
//捕获异常
catch(Exception $e)
{
echo 'Message: ' .$e->getMessage();
}
?>
上面代码将获得类似这样一个错误：
Message: Value must be 1 or below
例子解释：
上面的代码抛出了一个异常，并捕获了它：
- 创建 checkNum() 函数。它检测数字是否大于 1。如果是，则抛出一个异常。
- 在 "try" 代码块中调用 checkNum() 函数。
- checkNum() 函数中的异常被抛出
- "catch" 代码块接收到该异常，并创建一个包含异常信息的对象 ($e)。
- 通过从这个 exception 对象调用 $e->getMessage()，输出来自该异常的错误消息
不过，为了遵循“每个 throw 必须对应一个 catch”的原则，可以设置一个顶层的异常处理器来处理漏掉的错误。
异常的规则
- 需要进行异常处理的代码应该放入 try 代码块内，以便捕获潜在的异常。
- 每个 try 或 throw 代码块必须至少拥有一个对应的 catch 代码块。
- 使用多个 catch 代码块可以捕获不同种类的异常。
- 可以在 try 代码块内的 catch 代码块中再次抛出（re-thrown）异常。
简而言之：如果抛出了异常，就必须捕获它。
PHP 过滤器（Filter）
PHP 过滤器用于验证和过滤来自非安全来源的数据，比如用户的输入。
什么是 PHP 过滤器？
PHP 过滤器用于验证和过滤来自非安全来源的数据。
验证和过滤用户输入或自定义数据是任何 Web 应用程序的重要组成部分。
设计 PHP 的过滤器扩展的目的是使数据过滤更轻松快捷。
函数和过滤器
filter_var
(PHP 5 >= 5.2.0, PHP 7)
filter_var — 使用特定的过滤器过滤一个变量
说明
$variable [,
int $filter = FILTER_DEFAULT [,
mixed $options ]] )
参数
-
variable -
待过滤的变量
-
filter -
The ID of the filter to apply. The Types of filters manual page lists the available filters.
If omitted,
FILTER_DEFAULTwill be used, which is equivalent toFILTER_UNSAFE_RAW. This will result in no filtering taking place by default. -
options -
一个选项的关联数组，或者按位区分的标示。如果过滤器接受选项，可以通过数组的 "flags" 位去提供这些标示。 对于回调型的过滤器，应该传入 callable。这个回调函数必须接受一个参数，即待过滤的值，并且 返回一个在过滤/净化后的值。
如需过滤变量，请使用下面的过滤器函数之一：
- filter_var() - 通过一个指定的过滤器来过滤单一的变量
- filter_var_array() - 通过相同的或不同的过滤器来过滤多个变量
- filter_input - 获取一个输入变量，并对它进行过滤
- filter_input_array - 获取多个输入变量，并通过相同的或不同的过滤器对它们进行过滤。
Validating 和 Sanitizing
有两种过滤器：
Validating 过滤器：
- 用于验证用户输入
- 严格的格式规则（比如 URL 或 E-Mail 验证）
- 如果成功则返回预期的类型，如果失败则返回 FALSE
Sanitizing 过滤器：
- 用于允许或禁止字符串中指定的字符
- 无数据格式规则
- 始终返回字符串