输入类input.php

输入类主要有以下两个用途。

• 为了安全性，对输入数据进行预处理，预处理逻辑是根据用户的配置选择对应的处理方法。
• 提供了一些辅助方法来获取输入数据并处理，CodeIgniter 提供了几个辅助方法来从 POST、GET、COOKIE 和 SERVER 数组中获取数据。 使用这些方法来获取数据而不是直接访问数组$_POST['key']的最大好 处是这些方法会检查获取的数据是否存在，如果不存在则返回 NULL 。这使用起来将很方便， 你不再需要去检查数据是否存在 ，此外也能提高程序的可读性。

用户配置

和输入类相关的用户配置包括以下几项。

$config['allow_get_array']表示是否允许用户使用$_GET全局变量，如果设置为不允许，会在输入类构造函数处理中将$_GET清空。

$config['global_xss_filtering']表示是否开启XSS全局防御的标志位，如果设置为允许，则会对用户输入和Cookie的内容中进行XSS过滤。

$config['csrf_protection']表示是否开启CSRF防御，如果设置为允许，则会在对表单数据进行处理时进行CSRF方法的检查。

$config['standardize_newlines']表示是否标准化换行符，如果设置为允许，则会在对表单数据进行处理时用PHP_EOL代替数据中的换行符。

属性概览

方法概览

构造函数__construct

public function __construct()
{
    //根据config的配置确定对应的属性值
   $this->_allow_get_array       = (config_item('allow_get_array') !== FALSE);
   $this->_enable_xss    = (config_item('global_xss_filtering') === TRUE);
   $this->_enable_csrf       = (config_item('csrf_protection') === TRUE);
   $this->_standardize_newlines   = (bool) config_item('standardize_newlines');

   $this->security =& load_class('Security', 'core');

   //如果需要Utf8则加载类
   if (UTF8_ENABLED === TRUE)
   {
      $this->uni =& load_class('Utf8', 'core');
   }

   //处理表单数据,$_GET,$_POST,$_COOKIE去掉不合要求的字符
   $this->_sanitize_globals();

   //如果开启了csrf检查且不是cli模式就进行csrf安全检查
   if ($this->_enable_csrf === TRUE && ! is_cli())
   {
      $this->security->csrf_verify();
   }

   log_message('info', 'Input Class Initialized');
}

表单处理函数_sanitize_globals()

protected function _sanitize_globals()
{
   //如果$_GET不允许实用，将$_GET置为空串
   if ($this->_allow_get_array === FALSE)
   {
      $_GET = array();
   }
   elseif (is_array($_GET))
   {   //过滤$_GET的字符
      foreach ($_GET as $key => $val)
      {
         $_GET[$this->_clean_input_keys($key)] = $this->_clean_input_data($val);
      }
   }
   //对$_POST数据进行检查处理
   if (is_array($_POST))
   {
      foreach ($_POST as $key => $val)
      {
         $_POST[$this->_clean_input_keys($key)] = $this->_clean_input_data($val);
      }
   }
   //对$_COOKIE数据进行检查处理
   if (is_array($_COOKIE))
   {
      //取消特殊字符作为key的值，因为这些值一般是由服务端设置的
      //当出现这种情况的时候还应该警报'Disallowed Key Characters'
      unset(
         $_COOKIE['$Version'],
         $_COOKIE['$Path'],
         $_COOKIE['$Domain']
      );

      foreach ($_COOKIE as $key => $val)
      {
         if (($cookie_key = $this->_clean_input_keys($key)) !== FALSE)
         {
            $_COOKIE[$cookie_key] = $this->_clean_input_data($val);
         }
         else
         {
            unset($_COOKIE[$key]);
         }
      }
   }
   $_SERVER['PHP_SELF'] = strip_tags($_SERVER['PHP_SELF']);

   log_message('debug', 'Global POST, GET and COOKIE data sanitized');
}

表单数据key值处理_clean_input_keys()

protected function _clean_input_keys($str, $fatal = TRUE)
{
    //如果$str中有不允许的字符串则根据$fatal取值返回false活着直接报503，exit
   if ( ! preg_match('/^[a-z0-9:_\/|-]+$/i', $str))
   {
      if ($fatal === TRUE)
      {
         return FALSE;
      }
      else
      {
         set_status_header(503);
         echo 'Disallowed Key Characters.';
         exit(7); // EXIT_USER_INPUT
      }
   }

   //如果需要utf8支持则调用UTF8的clean_string()方法处理并返回$str
   if (UTF8_ENABLED === TRUE)
   {
      return $this->uni->clean_string($str);
   }
  
   return $str;
}

从表单取值的函数_fetch_from_array()

protected function _fetch_from_array(&$array, $index = NULL, $xss_clean = NULL)
{
   is_bool($xss_clean) OR $xss_clean = $this->_enable_xss;

   //如果$index是空，那么获取并输出$array中所有的键值对
   isset($index) OR $index = array_keys($array);

   //$index是数组是循环自身调用输出，允许一次获取多个值
   if (is_array($index))
   {
      $output = array();
      foreach ($index as $key)
      {
         $output[$key] = $this->_fetch_from_array($array, $key, $xss_clean);
      }

      return $output;
   }

   //如果能直接取到直接输出，能正则匹配
   if (isset($array[$index]))
   {
      $value = $array[$index];
   }
   elseif (($count = preg_match_all('/(?:^[^\[]+)|\[[^]]*\]/', $index, $matches)) > 1) //如果有数组注解符号
   {
      //从数组中匹配$key作为最终取到的值
      $value = $array;
      for ($i = 0; $i < $count; $i++)
      {
         $key = trim($matches[0][$i], '[]');
         if ($key === '') // Empty notation will return the value as array
         {
            break;
         }

         if (isset($value[$key]))
         {
            $value = $value[$key];
         }
         else
         {
            return NULL;
         }
      }
   }
   else
   {
      return NULL;
   }

    //如果开启了xss检查，输出xss_clean方法处理后的$value
   return ($xss_clean === TRUE)
      ? $this->security->xss_clean($value)
      : $value;
}