1. Filter kısa sürede. Eğer metin işleme fonksiyonları tahmin çalışması için tüm metin girişi uygun UTF-8 olduğundan emin olmanız gerekir.

   Ama "tehlikeli" karakterleri veya fragmanları filtrelemeyi denemek yok! Bu işe yaramazsa. Sadece düzeltmek veya girişi hatalı veri reddediyoruz. < yanlış veya ' karakter şey yok.

2. Escape mümkün olduğunca geç. SQL SQL sorgu işlevi kaçan Ekle (ya da daha iyisi - hazırlanmış ifadeler kullanmak). HTML şablonları HTML-kaçış. E-posta nesil işlevler, kabuk-kaçış CLI komutları çalıştırırken, vb kote-Baskı-kaçış

   Uzun kaçtı veri yaşıyor, büyük bir şans size çıkmamış verileri ile karıştırmak ya da işleme sırasında kaçan kırarım çünkü kaçtı verileri, tüm uygulama yayılmış izin vermeyin.

Bu tam bir çözüm değil, ama durum bu tür bir son derece yararlı şey macar-stili gösterimde olduğunu. Her zaman kullanılır Macar notasyonu bana, sadece can sıkıcı olduğunu, ancak bu değişken adı meta bu tür çok değerli olduğu yerde türüdür. İyi bir uygulama ondan beklemek ne diyor bir önek ... yani ile değişkenleri isim olduğunu Vb $ rawUserInput, $ escapedUserInput,

Bu tamamen sorunu çözmek değil, ama iyi bir kodlama uygulamadır. Sonra diyor ki bir kod parçası gördüğünüzde

'SELECT * from table where username = ' + $rawUserName

Eğer ham önek bunu kaçmış değil demektir biliyorum çünkü, bir enjeksiyon açığı var ki hemen ortada.

Ama sonra tekrar, iyi MVC uygulama gibi gelmiyor.

Tamamen Model tür sunum kaygılar ve kolay bunları senkronize çıkmak için yapacak bir HTML ve her değişkenin bir ham versiyonu hem de saklamak için yanlış yer, katılıyorum. Çözüm 2 unutun.

Bu alternatif çiftleşmiş motorları, veya PHP ile yapışmasını ve htmlspecialchars'dan her zaman çağrı yükü taşımaları öğrenme ile size bırakır. Ben alternatif çiftleşmiş girişlerinin fikrine açığım, ama ben şimdiye kadar denedim olanlar gerçekten mutlu olmamıştır.

(Birçok ıskarta PHP sözdizimi ve size zaten bildiğiniz ve daha karmaşık sunum mantığı imkansız kılan bir noddy-dil ile sıkışmış dil avantajı kaybetmek anlamına gelir, bu yüzden PHP kendiniz yapıyor sonuna kadar kendi sınırlı anlatım dilleri, uygulamak kesinlikle bir kazan değil, HTML, dolu dizeleri ile.)

HTML-kaçan acısını çıkarmak için kısa bir adla bir küresel işlevi tanımlayın: Yani şu an için bir Solution 0a kazık eklemek için öneririm:

<?php
    function h($s) {
        echo(htmlspecialchars($s, ENT_QUOTES));
    }
?>
...

My lovely variable is <?php h($this->myVariable); ?>.

Ben PHP dediğiniz gibi farkla en yaygın kullanım durumunda olan, bunun için bir kısayol tanımlamak değil neden hiçbir fikrim yok. Şimdi dedikleri gibi, XML-PI-stil etiketleri için kısa etiketleri, neden orada doğru olanı yapmak için başka bir ad ile bir değil, terk ettik <?phph?

Bunu yapmanın bir düzine yolu vardır. İşte bir kaç olduğunu:

• You could write your custom View class, as described in the Zend Framework Manual, and escape any variables when they are assigned to or requested from the View.
• In case of Datasets, you could wrap them into a custom ArrayIterator that does output escaping when fetching items from it, along with any other stuff you want to automate on output.
• Or you could use the View Script approach.
• Or, if you dont want to have your template authors write any PHP or template syntax whatsoever, you could ask them them to write just the structured HTML and then insert the values through the DomDocument extension.

Ayrıntılı olan bir şablonda PHP gelince de .. bu kısa gösterimde sunmuyor olabilir, ama sonra tekrar, does bir gösterim sağlamak ve hiçbir yükü ile birlikte gelir. Bile olmayan PHP şablon yazarlar için temelde PHP kutunun dışında yapabileceği bir alt kümesini yeniden keşfediyor bir (genellikle garip) bir şablon dili daha PHP birkaç yöntem çağrıları öğrenmek için kolay olmalıdır.

Eğer ile bitebileceğini böylece de, <?php kurtulmak için şablonlar Alternative PHP Syntax ve NowDoc or HereDoc kullanın ve echo çağrıları olabilir gibi bir şey

<?php
// get some partial block done first
foreach($this->books as $book):
$loopdata = << LOOPDATA
<li> {$book->title} -  {$book->author} - {$book->publisher}</li>
LOOPDATA;
endforeach;

// render entire template
echo << HTML
<h1>{$this->title}</h1>
<ul>{$loopdata}</ul>
HTML;

Şahsen, ben bu çok çekici bulmuyorum, ama gördüğünüz gibi, PHP ile şablonları yazmak için birçok yol vardır. Sadece birini seçmek.