Home > 技术文章投稿区 > 技术文章

【学习笔记】第二章表单验证知识总结

久违的双子座 · 发表于 2020-02-28 10:09:13 · 技术文章

## 这人是谁？
> 我是第八期学员`久违的双子座`这是我的第一个帖子，希望能坚持下去。
这个**【学习笔记】**系列，是学习正式课程后，总结记录的内容，供`提交作业`、`复习查阅`和`分享交流`使用。下面就开始吧！

## 一、几个简单的概念
### 表单
1. **概念：**在网页中主要负责数据采集功能。表单是干嘛用的，千言万语汇于下图中，大家细品吧！
![表单作用](/upload/md/561326a6448e43e51345b0f67f62c7fd_30385.png "表单作用")
用在哪里呢？常见的`登录框` `搜索框` `留言框` `上传框` 等等能填东西的框，下次见着要记得啊。

2. **组成：**
- **表单标签：**这里面包含了处理表单数据所用CGI程序的URL以及数据提交到服务器的方法。（写法如下，下面的表也可以查询，多写写就会了）
 <form action= "URL" method="GET/POST" >
![表单标签](/upload/md/082147c8a46866a69732dfc0cd065758_10163.png "表单标签")

- **表单域**即表单组件：各种框汇聚在此。
- **表单按钮**：顾名思义哦，包括`交按钮`、`复位按钮`和`一般按钮`
上面*表单域*和*表单按钮*的代码怎么写呢？大概样子如下，结合图片大家自己多练吧！
 <input type="text" name="eason" />
![表单域、按钮](/upload/md/e4ddc2e08ba82274b0489d849105c7c4_42744.png "表单域、按钮")

## 二、开始使用
1. **建立简陋的表单页面**（技术不精只会老师教的做简陋表单，见笑了各位）
 <meta charset='utf-8'>
 <center>
 <h3>后台登录</h3>
 <form action="" method="POST">
 账号：<input type="text" name="username" value="" /><br>
 密码：<input type="password" name="password" value="" /><br>
 <input type="submit" value="登陆" /><br>
 </form>
2. **用php实现调用后端数据库**（不要难为我，对PHP下面是我目前会的全部了）
用扩展插件`mysqli`，如下只需调用其五个步骤
- `接入参数`：关注前后端method要一致
 @$uname = $_POST['username'];
 @$passwd = $_POST['password'];
- `mysqli_connect`（连接地址，连接账户，连接密码，连接数据库名)
 $conn = mysqli_connect('127.0.0.1','root','root','3_9')
- 编辑`$sql`执行语句
 $sql = "select * from admin where uname='$uname' and passwd='$passwd'";
- 连接数据库进行操作`mysqli_query()`
 $query = mysqli_query($conn, $sql)
- 回显结果` mysqli_fetch_array()`
 $result_array = mysqli_fetch_array($query);
 if($result_array['uname']) 
 {echo '登陆成功';echo $sql;}
 else
 {echo '账号或密码错误';echo $sql;}
只需完成五部就实现了用PHP调用后端服务器的操作，很肤浅初级操作，望大神们留情。
### 三、表单验证
1. **违规登陆漏洞**
**上面的实现逻辑有大问题，前端传过来的参数我们没验证，不验证我们会产生什么漏洞**
> - ### 账号直接输入`' or 1=1 #`,造成违规登陆。原理：用户名永真，密码部分被注释掉。
> - ### 账号输入：任意字符`\`结尾，密码输入`' or 1=1 #`,造成登陆成功，产生原理如下图，利用了`\'`转移和`#`
![](/upload/md/d14dba18261ed974eadbab36ade3e2ea_16885.png)
2. **规避方式 符号匹配 **（正则匹配下回说还没学）
- `stripos(字符串，匹配字符)` 返回匹配字符下标
 不建议使用， 若第一位为“ ' ” 则返回结果为0，if判断为false，不执行die语句，实现绕过。
- ### `stristr(字符串，匹配字符)`返回匹配字符及以后连续
 ###推荐使用
 if (stristr($uname, '\'')){die('有恶意代码禁止执行');}
 if (stristr($passwd, '\'')){die('有恶意代码禁止执行');}
以上就是这次课的笔记，供复习和交流使用，后续会不断对笔记进行查缺补漏。

打赏我,让我更有动力~

0 Reply | Until 2020-2-28 | 1157 View

LoginCan Publish Content

【学习笔记】第二章 表单验证知识总结

【学习笔记】第二章表单验证知识总结