parse_str 随机向键添加分号

Question

我将查询字符串作为查询字符串的一部分传递给 PHP 脚本。

有点像这样：

$.post('/url', {
    id: postID
    filters: $('#form').serialize()
});

然后在我的 PHP 中，我使用parse_str 来读取filters：

<?php
$postID = $this->input->post('id');
parse_str($this->input->post('filters'), $filters);

问题是parse_str 将;s 随机添加到键中。我得到这样的结果：

array(4) {
  ["users"]=>
  string(0) ""
  ["companies;"]=>
  string(0) ""
  ["pref;_123"]=>
  string(0) ""
  ["products;"]=>
  array(2) {
    [0]=>
    string(4) "1234"
    [1]=>
    string(4) "5678"
  }
}

为什么服务器要添加;？我在另一台服务器上尝试过，但没有发生这种情况。通过 CLI 进行测试时也不会发生这种情况。

编辑：看来这不是parse_str 的错，而是某种XSS 过滤器。 $this->input->post('filters')（甚至$_POST['filters']！）包含; 字符。我检查了，jQuery 没有添加它们。

编辑：我设法“解决”了这个问题：

$filters = array_combine(array_map(function($x){
    return str_replace(';', '', $x);
}, array_keys($filters)), array_values($filters));

Answer 1

这是由 Codeigniter 中的配置变量 global_xss_filtering 引起的。将其设置为 false 以禁用此行为。

另请参阅：
xss_clean adds semicolon to anything with an &
CodeIgniter adding semicolons

Answer 2

我会先做一个 $filters 的 var_dump 来看看有什么进来。

parse_str 会像这样解析你发送的字符串：

$string = "user=&companies=StackOverflow";
parse_str($string, $filters);
echo $filters['user']; // empty string
echo $filters['companies']; // StackOverflow

我最好的猜测是，从iQuery's serialize（包括数据）发送的内容可能没有正确序列化/转义，因此 parse_str 可以轻松地将字符串拆分为 & 作为每个参数的键/值的分隔符。

阅读手册你肯定在那里做正确的事情，但可能有一些东西潜伏在你的数据中，导致 parse_str 关闭。我还会在 jQuery 发布的字符串中查找非法字符。