在PHP中使用超級全局`$ _SERVER ['PHP_SELF']`有什麼好處？

Question

使用超級全球$_SERVER['PHP_SELF']的好處是什麼？

Answer 1

$_SERVER['PHP_SELF']沒有（或不應該）包含域名。它包含腳本被調用的url的路徑組件。

它的用途主要是介紹跨站點腳本漏洞。

，你可以用它來填表標籤的action屬性：

<form method="post" action="<?=$_SERVER['PHP_SELF']?>"></form> 

如果我再打電話給你的頁面：

your-file-that-uses-php-self.php/("><script>eval-javascript-here</script>) 

這裏的一切在括號中url編碼，然後我可以將代碼注入您的頁面。如果我將該鏈接發送給其他人，那麼我將在您的網站的瀏覽器中執行該代碼。

編輯： 爲了使其安全免受XSS攻擊，使用htmlspecialchars：

<form method="post" action="<?php echo htmlspecialchars($_SERVER['PHP_SELF']); ?>">...</form> 

編輯2：由於這$_SERVER變量已經被整個互聯網絡濫用，所以經常在那裏的例子，唐不要錯過閱讀您的HTML參考資料：由於該URI是最短的相對URI，因此您可以將action屬性留空：

<form action="" method="post" >...</form>