評論代碼的正則表達式的問題

Question

我目前正在登錄的用戶可以寫評論的主頁。註釋字符串首先通過str_replaces表情符號的函數運行。從那以後，我希望它來交換

[url=www.whatever.com]linktext[/url] 

有：

<a href='www.whatever.com'>linktext</a> 

這樣做的原因是，我想要去除的文本不是由我的註釋代碼控制的所有HTML代碼，以防某些用戶決定獲得創意 -

並認爲最好使用preg替換，但代碼我結束了（部分原因是從我可靠的「O reilly Sql和Php」書中讀取了關於reg exp的內容，以及部分來自網絡）是相當瘋狂的，最重要的是，它不起作用。

任何幫助，將不勝感激，謝謝。

它可能可以交換整個代碼，而不是像我所做的那樣在2段中交換。只是決定讓兩個較小的零件先工作會更容易，然後再合併它們。

代碼：

function text_format($string) 
{ 
    $pattern="/([url=)+[a-zA-Z0-9]+(])+/"; 
    $string=preg_replace($pattern, "/(<a href=\')+[a-zA-Z0-9]+(\'>)+/", $string); 
    $pattern="/([\/url])+/"; 
    $string=preg_replace($pattern, "/(<\/a>)+/", $string);  
    return $string; 
} 

Answer 1

我嘗試了一下有以下幾點：

function text_format($string) 
{ 
    return preg_replace('#\[url=([^\]]+)\]([^\[]*)\[/url\]#', '<a href="$1">$2</a>', $string); 
} 

然而，這一次直接的故障是，如果linktext是空的，會有<a>和</a>之間沒有任何東西。一個辦法解決這將是另做通有這樣的事情：

preg_replace('#<a href="([^"]+)"></a>#', '<a href="$1">$1</a>', $string); 

另一種選擇是使用preg_replace_callback，並把這個邏輯你的回調函數內。

最後，這顯然是一個常見的「問題」，並已被其他人解決了很多次，如果使用更成熟的開源解決方案是一種選擇，我建議尋找一個。

Answer 2

看起來你正在使用類似於BBCode的東西。爲什麼不使用BBCode解析器，比如這個？

http://nbbc.sourceforge.net/

它也處理的笑臉，用圖片替換它們。如果你使用他們的測試頁面，你仍然會看到文本，因爲他們沒有託管這些圖像，他們很快地設置了alt-text。

Answer 3

@Lauri Lehtinen的回答對於瞭解該技術背後的想法很有幫助，但是您不應該在實踐中使用它，因爲這會讓您的網站極易受到XSS攻擊。另外，鏈接垃圾郵件發送者會對生成的鏈接缺少rel="nofollow"感到滿意。

相反，使用類似：

<?php 
// \author Daniel Trebbien 
// \date 2010-06-22 
// \par License 
// Public Domain 

$allowed_uri_schemes = array('http', 'https', 'ftp', 'ftps', 'irc', 'mailto'); 

/** 
* Encodes a string in RFC 3986 
* 
* \see http://tools.ietf.org/html/rfc3986 
*/ 
function encode_uri($str) 
{ 
    $str = urlencode('' . $str); 
    $search = array('%3A', '%2F', '%3F', '%23', '%5B', '%5D', '%40', '%21', '%24', '%26', '%27', '%28', '%29', '%2A', '%2B', '%2C', '%3B', '%3D', '%2E', '%7E'); 
    $replace = array(':', '/', '?', '#', '[', ']', '@', '!', '$', '&', '\'', '(', ')', '*', '+', ',', ';', '=', '.', '~'); // gen-delims/sub-delims/unreserved 
    return str_ireplace($search, $replace, $str); 
} 

function url_preg_replace_callback($matches) 
{ 
    global $allowed_uri_schemes; 

    if (empty($matches[1])) 
     return $matches[0]; 
    $href = trim($matches[1]); 
    if (($i = strpos($href, ':')) !== FALSE) { 
     if (strrpos($href, '/', $i) === FALSE) { 
      if (!in_array(strtolower(substr($href, 0, $i)), $allowed_uri_schemes)) 
       return $matches[0]; 
     } 
    } 

    // unescape `\]`, `\\\]`, `\\\\\]`, etc. 
    for ($j = strpos($href, '\\]'); $j !== FALSE; $j = strpos($href, '\\]', $j)) { 
     for ($i = $j - 2; $i >= 0 && $href[$i] == '\\' && $href[$i + 1] == '\\'; $i -= 2) 
      /* empty */; 
     $i += 2; 

     $h = ''; 
     if ($i > 0) 
      $h = substr($href, 0, $i); 
     for ($numBackslashes = floor(($j - $i)/2); $numBackslashes > 0; --$numBackslashes) 
      $h .= '\\'; 
     $h .= ']'; 
     if (($j + 2) < strlen($href)) 
      $h .= substr($href, $j + 2); 
     $href = $h; 
     $j = $i + floor(($j - $i)/2) + 1; 
    } 

    if (!empty($matches[2])) 
     $href .= str_replace('\\\\', '\\', $matches[2]); 

    if (empty($matches[3])) 
     $linkText = $href; 
    else { 
     $linkText = trim($matches[3]); 
     if (empty($linkText)) 
      $linkText = $href; 
    } 
    $href = htmlspecialchars(encode_uri(htmlspecialchars_decode($href))); 
    return "<a href=\"$href\" rel=\"nofollow\">$linkText</a>"; 
} 

function render($input) 
{ 
    $input = htmlspecialchars(strip_tags('' . $input)); 
    $input = preg_replace_callback('~\[url=((?:[^\]]|(?<!\\\\)(?:\\\\\\\\)*\\\\\])*)((?<!\\\\)(?:\\\\\\\\)*)\]' . '((?:[^[]|\[(?!/)|\[/(?!u)|\[/u(?!r)|\[/ur(?!l)|\[/url(?!\]))*)' . '\[/url\]~i', 'url_preg_replace_callback', $input); 
    return $input; 
} 

我相信這是對XSS安全。此版本還有其他好處，可以寫出鏈接到包含']'的URL。

評估該代碼與下面的 「測試套件」：

echo render('[url=http://www.bing.com/][[/[/u[/ur[/urlBing[/url]') . "\n"; 
echo render('[url=][/url]') . "\n"; 
echo render('[url=http://www.bing.com/][[/url]') . "\n"; 
echo render('[url=http://www.bing.com/][/[/url]') . "\n"; 
echo render('[url=http://www.bing.com/][/u[/url]') . "\n"; 
echo render('[url=http://www.bing.com/][/ur[/url]') . "\n"; 
echo render('[url=http://www.bing.com/][/url[/url]') . "\n"; 
echo render('[url=http://www.bing.com/][/url][/url]') . "\n"; 
echo render('[url= javascript: window.alert("hi")]click me[/url]') . "\n"; 
echo render('[url=#" onclick="window.alert(\'hi\')"]click me[/url]') . "\n"; 
echo render('[url=http://www.bing.com/]  [/url]') . "\n"; 
echo render('[url=/?#[\\]@!$&\'()*+,;=.~]  [/url]') . "\n"; // link text should be `/?#[]@!$&'()*+,;=.~` 
echo render('[url=http://localhost/\\\\]d]abc[/url]') . "\n"; // href should be `http://localhost/%5C`, link text should be `d]abc` 
echo render('[url=\\]][/url]') . "\n"; // link text should be `]` 
echo render('[url=\\\\\\]][/url]') . "\n"; // link text should be `\]` 
echo render('[url=\\\\\\\\\\]][/url]') . "\n"; // link text should be `\\]` 
echo render('[url=a\\\\\\\\\\]bcde\\]fgh\\\\\\]ijklm][/url]') . "\n"; // link text should be `a\\]bcde]fgh\]ijklm` 

或者，只是看在Codepad results。

正如你所看到的，它的工作原理。