微微族

PHP是个伟大的web开发语言，灵活的语言，但是看到php程序员周而复始的犯的一些错误。我做了下面这个列表，列出了PHP程序员经常犯的10 中错误，大多数和安全相关。看看你犯了几种
1.不转意html entities
一个基本的常识：所有不可信任的输入（特别是用户从form中提交的数据） ，输出之前都要转意。
echo $_GET['usename'] ;
这 个例子有可能输出：
<script>/*更改admin密码的脚本或设置cookie的脚本*/</script>
这 是一个明显的安全隐患，除非你保证你的用户都正确的输入。
如何修复 ：
我们需要将”< “,”>”,”and” 等转换成正确的HTML表示(< , >’, and “)，函数htmlspecialchars 和 htmlentities()正是干这个活的。
正确的方法：
echo htmlspecialchars($_GET['username'], ENT_QUOTES);
2. 不转意SQL输入
我曾经在一 篇文章中最简单的防止sql注入的方法(php+mysql中)讨论过这个问题并给出了一个简单的方法 。有人对我说，他们已经在php.ini中将magic_quotes设置为On，所以不必担心这个问题，但是不是所有的输入都是从$_GET, $_POST或 $_COOKIE中的得到的！
如何修复：
和在最简单的防止sql注入的方法(php+mysql中)中一样我还是推荐使 用mysql_real_escape_string()函数
正确做法：
<?php
$sql = “UPDATE users SET
name=’.mysql_real_escape_string($name).’
WHERE id=’.mysql_real_escape_string ($id).’”;
mysql_query($sql);
?>
(全文…)

1 SimpleXML 简介
要处理XML 文件，有两种传统的处理思路：SAX 和DOM。SAX 基于事件触发机制，
对XML 文件进行一次扫描，完成要进行的处理；DOM 则将整个XML 文件构造为一棵DOM
树，通过对DOM 树的遍历完成处理。这两种方法各有优缺点，SAX 的处理思路相对抽象，
DOM 的处理过程相对烦琐，都不很适合新手的入门。
PHP5 推出了一套新的XML 处理函数，即SimpleXML。名如其实，SimpleXML 本身小
巧精干，只提供了少量的几个方法函数，但用它处理起XML 文件功能却非常强大，操作也
非常的简单。
首先，它提供有简单 的函数可以从XML 文档、字符串、或DOM 对象上直接构造出
SimpleXMLElement 对象；其次，SimpleXMLElement 提供有简单的方法可以进行属性、子节
点、和XPath 的操作；然而，SimpleXML 最简单的地方是，它提供有使用标准对象的属性和
对象迭代器进行节点操作的方法，这一处理思路使得用PHP 对XML 文档的处理得到了极大
的 简化。
2 SimpleXML 入门示例
下面我们通过一些小的代码片段，稍微了解一下SimpleXML 的强大和简洁。为举例方便，
我 们使用一个Messages.xml 文件，里面包含这样一段XML 代码：
Messages.xml
<?xml version=’1.0′ standalone=’yes’?>
<Messages>
<msg id=’1′>
<title>This is Title</title>
<content>Here is Content</content>
<time>2008-03-20 21:50:23</time>
<reply id=’11′>reply 1</reply>
<reply id=’12′>reply 2</reply>
</msg>
</Messages>
这 是一篇保存有留言信息的XML 文档，每条信息包括属性id，子节点title、content、time
以及若干条对于它的回复信息，每条回复 包括属性id 及回复的内容。
用SimpleXML 处理并输出此XML 文档内容的过程以及方法如下。
（1） 构造SimpleXMLElement 对象

代码片断
$xml = simplexml_load_file(‘Messages.xml’);
如果这段xml 已经被读入到一个字符串$messages 中，则可以使用如下语句：
代码片断
$xml = simplexml_load_string(‘Messages.xml’);
（2） 输出留言1 的标题
代码片断
//可以使用属性的方式访问子节点，通过节点的标签名可直接得到节点的内容
echo $xml->msg->title;
（3）输出留言1 的第一条回复信息
代码片断
//同级别的多个同名节点自动成为 数组，可以通过索引下标访问其内容
echo $xml->msg->reply[0];

(全文…)

<?php
$serverSite=”.”;
$db=”phpdemo”;
$name=”sa”;
$pass=”sa”;
$conn=@mssql_connect($serverSite,$name,$pass)?or?die(“数据库连接错误！”);
@mssql_select_db(“phpdemo”,$conn);
echo?’this?can?be?use!’;
$ok=@mssql_query(“insert?into?test?(name)values(‘ossem’)”,$conn);
echo?’this?database?is?:’.$conn;
if($ok)
{
echo?”ok”;
}else
{
echo?”false”;
}
?>

如果实现了PHP和MySQL链接了，PHP和MSSQL的链接其实很简单；
支持MSSQL的本地链接和远程链接，以本地链接为例：
机 器上安装了MS SQLServer 2005；
连接前配置系统:
1.检查文件 php5.2.5\ntwdblib.dll 默认下面有一个,不能连接再替换.
下载正确版本的 ntwdblib.dll (2000.80.194.0)，地址： http://webzila.com/dll/1/ntwdblib.zip
2.配置php
(全文…)