将 POST 数据从 Javascript(jquery) 传递到 php 问题？

Question

我一直在尝试传递这个值：

// Content to submit to php
Others string here. And this link:
http://www.youtube.com/watch?v=CUUgKj2i1Xc&feature=rec-LGOUT-exp_fresh+div-1r-2-HM

到一个php页面，并将其插入数据库。这是我当前的代码：

... // javascript

var content = $("#mcontent").val();
$.ajax({
    url : '<?php echo PATH; ?>functions/save.php',
    type: 'POST',
    data: 'id=<?php echo $_GET['id']; ?>&content=' + content + '&action=save&val=<?php echo md5("secr3t" . $_SESSION['userid_id']); ?>',
    dataType: 'json',

    success: function(response) {
        if (response.status == 'success') {
            alert(response.message);
        } else {
            alert(response.message);
        }
    }
});

实际上没有错误，但是在数据库中，它保存的是：

Others string here. And this link:
http://www.youtube.com/watch?v=CUUgKj2i1Xc

我想我知道是什么问题，问题是：

http://www.youtube.com/watch?v=CUUgKj2i1Xc&feature=rec-LGOUT-exp_fresh+div-1r-2-HM

我认为它将“&feature=”作为另一个 POST 数据。我尝试过的：

• 在 & 符号前添加斜杠 (http://phpjs.org/functions/addslashes:303)

• 使用 Javascript HTML 编码/解码功能（在互联网上也可以找到）

但两者都不起作用。你还有什么办法吗？

编辑：

您预见到可能发生的任何其他问题吗？内容由用户输入/写入。这意味着，用户可以输入/写任何东西。在反手，我做了其他检查，包括“mysql_real_escape_string”

Answer 1

jQuery 的一个好处是 data 参数可以带一个 JS 对象，所以你不需要尝试手动构建查询字符串。

<?php

    $data = array("id" => $_GET['id'], 
                  "action" => "save", 
                  "val" => md5("secr3t",$_SESSION['userid_id'])
                 );
    $json_data = encode_json($data);
    $json_data = str_ireplace($json_data, '</script>', '<\/script>');
    echo "var data = $json_data;";
?>
data.content = content;
$.ajax({
            url : '<?php echo PATH; ?>functions/save.php',
            type: 'POST',
            data: data,
            dataType: 'json',

Answer 2

学会逃跑。你很容易受到XSS 的攻击。在这种情况下，您的数据是 URL 的一部分，因此您必须 urlencode() 它。

var content = $("#mcontent").val();
$.ajax({
    url : '<?php echo PATH; ?>functions/save.php',
    type: 'POST',
    data: 'id=<?php echo urlencode($_GET['id']); ?>&content=' + urlencode(content) + '&action=save&val=<?php echo md5("secr3t" . $_SESSION['userid_id']); ?>',
    dataType: 'json',

    success: function(response) {
        if (response.status == 'success') {
            alert(response.message);
        } else {
            alert(response.message);
        }
    }
});

注意：我假设 PATH 不包含像 ' 和 \ 这样的特殊字符。由于$_SESSION['user_id']是md5-ed，所以不需要转义，因为它是安全的（md5返回一个固定长度32的字符串，只包含0-9和a-f。