Studiennotizen zu PHP-Funktionen

应用：$_SERVER["PHP_SELF"]变量能够被黑客利用。如果你的页面使用了PHP_SELF，用户能够输入下划线然后执行跨站点脚本(XSS)。 

提示：跨站点脚本(Cross-site scripting,XSS)是一种计算机安全漏洞类型，常见于web应用程序。XSS能够使攻击者向其他用户浏览的网页中输入客户端脚本。

例：test.php页面中有表单：

<form method="post" action="<?php echo $_SERVER["PHP_SELF"];?>">

如果地址栏中是正常URL：hhtp://www.example.com/test.php，上面代码会转换为：

<form method="post" action="test.php">

一旦输入：http://www.example.com/test.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E，上面代码会转换成：

<form method="post" action="test.php"/><script>alert(&#39;hacked&#39;);</script>

使用htmlspecialchars()函数避免上述情况，表单代码：

<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">

这时输入http://www.example.com/test.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E，上面代码会转换成：

<form method="post" action="test.php/"><script>alert(&#39;hacked&#39;)</script>"

1、empty、isset首先都会检查变量是否存在，然后对变量值进行检测。而is_null只是直接检查变量值，是否为null。

2、empty、isset输入参数必须是一个变量，而is_null输入参数只要是能够有返回值就可以(常量，变量，表达式等)。在php手册里，对于他们解析是：empty,isset是一个语言结构而非函数，因此它无法被变量函数调用。