标签：按钮 转义 数字 提交 important font note not har
1、PHP日期和时间
date() 函数的格式参数是必需的，它们规定如何格式化日期或时间。
下面列出了一些常用于日期的字符：
其他字符，比如 "/", "." 或 "-" 也可被插入字符中，以增加其他格式。
<?php echo "今天是 " . date("Y-m-d") . "<br>"; echo "今天是 " . date("l");//输出周× ?>
下面是常用于时间的字符：
下面的例子以指定的格式输出当前时间：
<?php echo "现在时间是 " . date("h:i:sa"); ?>
注释：请注意 PHP date() 函数会返回服务器的当前日期/时间！
如果从代码返回的不是正确的时间，有可能是因为您的服务器位于其他国家或者被设置为不同时区。
因此，如果您需要基于具体位置的准确时间，您可以设置要用的时区。
下面的例子把时区设置为 "Asia/Shanghai"，然后以指定格式输出当前时间：
<?php date_default_timezone_set("Asia/Shanghai"); echo "当前时间是 " . date("h:i:sa"); ?>
date() 函数中可选的时间戳参数规定时间戳。如果您未规定时间戳，将使用当前日期和时间（正如上例中那样）。
mktime() 函数返回日期的 Unix 时间戳，就是一串数字，表示Unix 时间戳包含 Unix 纪元（1970 年 1 月 1 日 00:00:00 GMT）与指定时间之间的秒数。
mktime(hour,minute,second,month,day,year)//必须按照时分秒，月日年的顺序
<?php $d=mktime(9, 12, 31, 6, 10, 2015); echo "创建日期是 " . date("Y-m-d h:i:sa", $d);//如果省略$d则以前面的格式显示当前时间 ?>
<?php $d=strtotime("10:38pm April 15 2015"); echo "创建日期是 " . date("Y-m-d h:i:sa", $d); ?>
<?php $d=strtotime("tomorrow"); echo date("Y-m-d h:i:sa", $d) . "<br>"; $d=strtotime("next Saturday"); echo date("Y-m-d h:i:sa", $d) . "<br>"; $d=strtotime("+3 Months"); echo date("Y-m-d h:i:sa", $d) . "<br>"; ?>
不过，strtotime() 并不完美，所以请记得检查放入其中的字符串。
2、PHP表单信息提交和接收
PHP 超全局变量 $_GET 和 $_POST 用于收集表单数据（form-data）。
下面的例子显示了一个简单的 HTML 表单，它包含两个输入字段和一个提交按钮：
<html> <body> <form action="welcome.php" method="post"> Name: <input type="text" name="name"><br>//接收方法$_POST["name"],接收和发送两边字段必须一样 E-mail: <input type="text" name="email"><br>//前面的E-mail为在页面上出现的字段，告诉大家这个填的是邮件，后边的email和接收的字段名相对应，必须一样，否则不能传递数据 <input type="submit"> </form> </body> </html>
当用户填写此表单并点击提交按钮后，表单数据会发送到名为 "welcome.php" 的 PHP 文件供处理。表单数据是通过 HTTP POST 方法发送的。
如需显示出被提交的数据，您可以简单地输出（echo）所有变量。"welcome.php" 文件是这样的：
<html> <body> Welcome <?php echo $_POST["name"]; ?><br> Your email address is: <?php echo $_POST["email"]; ?> </body> </html>
使用 HTTP —GET 方法也能得到相同的结果：
<html> <body> <form action="welcome_get.php" method="get"> Name: <input type="text" name="name"><br> E-mail: <input type="text" name="email"><br> <input type="submit"> </form> </body> </html>
"welcome_get.php" 是这样的：
<html> <body> Welcome <?php echo $_GET["name"]; ?><br> Your email address is: <?php echo $_GET["email"]; ?> </body> </html>
上面的代码很简单。不过，最重要的内容被漏掉了。您需要对表单数据进行验证，以防止脚本出现漏洞。
注意：在处理 PHP 表单时请关注安全！
本页未包含任何表单验证程序，它只向我们展示如何发送并接收表单数据。
GET 和 POST 都创建数组（例如，array( key => value, key2 => value2, key3 => value3, ...)）。此数组包含键/值对，其中的键是表单控件的名称，而值是来自用户的输入数据。
GET 和 POST 被视作 $_GET 和 $_POST。它们是超全局变量，这意味着对它们的访问无需考虑作用域 - 无需任何特殊代码，您能够从任何函数、类或文件访问它们。
$_GET 是通过 URL 参数传递到当前脚本的变量数组。
$_POST 是通过 HTTP POST 传递到当前脚本的变量数组。
通过 GET 方法从表单发送的信息对任何人都是可见的（所有变量名和值都显示在 URL 中）。GET 对所发送信息的数量也有限制。限制在 2000 个字符。不过，由于变量显示在 URL 中，把页面添加到书签中也更为方便。GET 可用于发送非敏感的数据。
注释：绝不能使用 GET 来发送密码或其他敏感信息！
通过 POST 方法从表单发送的信息对其他人是不可见的（所有名称/值会被嵌入 HTTP 请求的主体中），并且对所发送信息的数量也无限制。
此外 POST 支持高阶功能，比如在向服务器上传文件时进行 multi-part 二进制输入。
3、PHP表单验证
name、email 和 website 属于文本输入元素，comment 字段是文本框。HTML 代码是这样的：
Name: <input type="text" name="name"> E-mail: <input type="text" name="email"> Website: <input type="text" name="website"> Comment: <textarea name="comment" rows="5" cols="40"></textarea>
gender 字段是单选按钮，HTML 代码是这样的：
Gender: <input type="radio" name="gender" value="female">Female <input type="radio" name="gender" value="male">Male
表单的 HTML 代码是这样的：
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
当提交此表单时，通过 method="post" 发送表单数据。
$_SERVER["PHP_SELF"] 是一种超全局变量，它返回当前执行脚本的文件名。
因此，$_SERVER["PHP_SELF"] 将表单数据发送到页面本身，而不是跳转到另一张页面。这样，用户就能够在表单页面获得错误提示信息。
htmlspecialchars() 函数把特殊字符转换为 HTML 实体。这意味着 < 和 > 之类的 HTML 字符会被替换为 < 和 > 。这样可防止攻击者通过在表单中注入 HTML 或 JavaScript 代码（跨站点脚本攻击）对代码进行利用。
$_SERVER["PHP_SELF"] 变量能够被黑客利用！
如果您的页面使用了 PHP_SELF，用户能够输入下划线然后执行跨站点脚本（XSS）。
提示：跨站点脚本（Cross-site scripting，XSS）是一种计算机安全漏洞类型，常见于 Web 应用程序。XSS 能够使攻击者向其他用户浏览的网页中输入客户端脚本。
假设我们的一张名为 "test_form.php" 的页面中有如下表单：
<form method="post" action="<?php echo $_SERVER["PHP_SELF"];?>">
现在，如果用户进入的是地址栏中正常的 URL："http://www.example.com/test_form.php"，上面的代码会转换为：
<form method="post" action="test_form.php">
到目前，一切正常。
不过，如果用户在地址栏中键入了如下 URL：
http://www.example.com/test_form.php/%22%3E%3Cscript%3Ealert(‘hacked‘)%3C/script%3E（添加了这一部分绿色的）
在这种情况下，上面的代码会转换为：
<form method="post" action="test_form.php"/><script>alert(‘hacked‘)</script>
这段代码加入了一段脚本和一个提示命令。并且当此页面加载后，就会执行 JavaScript 代码（用户会看到一个提示框）。这仅仅是一个关于 PHP_SELF 变量如何被利用的简单无害案例。
您应该意识到 <script> 标签内能够添加任何 JavaScript 代码！黑客能够把用户重定向到另一台服务器上的某个文件，该文件中的恶意代码能够更改全局变量或将表单提交到其他地址以保存用户数据，等等。
通过使用 htmlspecialchars() 函数能够避免 $_SERVER["PHP_SELF"] 被利用。
表单代码是这样的：
<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">
htmlspecialchars() 函数把特殊字符转换为 HTML 实体。现在，如果用户试图利用 PHP_SELF 变量，会导致如下输出：
<form method="post" action="test_form.php/"><script>alert(‘hacked‘)</script>">
无法利用，没有危害！
我们要做的第一件事是通过 PHP 的 htmlspecialchars() 函数传递所有变量。
在我们使用 htmlspecialchars() 函数后，如果用户试图在文本字段中提交以下内容：
<script>location.href(‘http://www.hacked.com‘)</script>
- 代码不会执行，因为会被保存为转义代码，就像这样：
<script>location.href(‘http://www.hacked.com‘)</script>
现在这条代码显示在页面上或 e-mail 中是安全的。
在用户提交该表单时，我们还要做两件事：
现在，我们能够通过 test_input() 函数检查每个 $_POST 变量，脚本是这样的：
<?php // 定义变量并设置为空值 $name = $email = $gender = $comment = $website = ""; if ($_SERVER["REQUEST_METHOD"] == "POST") { $name = test_input($_POST["name"]);//test_input()为下边定义的函数，调用他们去除空格，反斜杠，转译特殊字符后返回$data并赋值给$name. $email = test_input($_POST["email"]); $website = test_input($_POST["website"]); $comment = test_input($_POST["comment"]); $gender = test_input($_POST["gender"]); } function test_input($data) { $data = trim($data); $data = stripslashes($data); $data = htmlspecialchars($data); return $data; } ?>
请注意在脚本开头，我们检查表单是否使用 $_SERVER["REQUEST_METHOD"] 进行提交。如果 REQUEST_METHOD 是 POST，那么表单已被提交 - 并且应该对其进行验证。如果未提交，则跳过验证并显示一个空白表单。
不过，在上面的例子中，所有输入字段都是可选的。即使用户未输入任何数据，脚本也能正常工作。
下一步是制作必填输入字段，并创建需要时使用的错误消息。
内容整合自W3school和菜鸟教程。
标签：按钮 转义 数字 提交 important font note not har
原文地址：http://www.cnblogs.com/yang01/p/7231266.html
