它真的檢查PHP中的每個數組索引有多重要？

我工作的一個相當大的項目，其中有很多的地方，如下面的代碼存在：它真的檢查PHP中的每個數組索引有多重要？

function foo($a, $b, $c, $d, $e, $f) { 
    $clean = array(); 
    $mysql = array(); 

    $clean['a'] = htmlentities($a); 
    $clean['b'] = htmlentities($b); 
    $clean['c'] = htmlentities($c); 
    $clean['d'] = htmlentities($d); 
    //... 

    $mysql['a'] = mysql_real_escape_string($clean['a']); 
    $mysql['b'] = mysql_real_escape_string($clean['b']); 
    $mysql['c'] = mysql_real_escape_string($clean['c']); 
    $mysql['d'] = mysql_real_escape_string($clean['d']); 
    //... 

    //construct and execute an SQL query using the data in $mysql 
    $query = "INSERT INTO a_table 
       SET a='{$mysql['a']}', 
        b='{$mysql['b']}', 
        c='{$mysql['c']}', 
        d='{$mysql['d']}'"; 
}

顯然，這引發了很多警告在PHP中未定義的指標。

是否真的有必要重寫代碼如下？

function foo($a, $b, $c, $d, $e, $f) { 
    $clean = array(); 
    $mysql = array(); 

    $clean['a'] = htmlentities($a); 
    $clean['b'] = htmlentities($b); 
    $clean['c'] = htmlentities($c); 
    $clean['d'] = htmlentities($d); 
    //... 

    $mysql['a'] = (isset($clean['a'])) ? mysql_real_escape_string($clean['a']) : mysql_real_escape_string($a); 
    $mysql['b'] = (isset($clean['b'])) ? mysql_real_escape_string($clean['b']) : mysql_real_escape_string($b); 
    $mysql['c'] = (isset($clean['c'])) ? mysql_real_escape_string($clean['c']) : mysql_real_escape_string($c); 
    $mysql['d'] = (isset($clean['d'])) ? mysql_real_escape_string($clean['d']) : mysql_real_escape_string($d); 
    //... 

    //construct and execute an SQL query using the data in $mysql 
    if (isset($mysql['a']) and isset($mysql['b']) and isset($mysql['c']) and isset($mysql['d'])) { 
     $query = "INSERT INTO a_table 
        SET a='{$mysql['a']}', 
         b='{$mysql['b']}', 
         c='{$mysql['c']}', 
         d='{$mysql['d']}'"; 
    } 

}

來源

2011-02-15 Jon

那麼，如果你真的設置每個'$ clean ['something']`，那麼你就不應該得到通知。順便說一句，你有很多重複。考慮使用循環或`array_map`：http://php.net/manual/en/function.array-map.php – 2011-02-15 17:03:23

您可以簡化您的功能，如果你用了很多：

function foo($a, $b, $c, $d, $e, $f) { 

    $args = func_get_args(); // or build an array() manually 

    $args = array_map("htmlentities", $args); 
    $args = array_map("mysql_real_escape_string", $args); 

    list($a, $b, $c, $d, $e, $f) = $args;

的isset（）函數的顯示位置檢查似乎完全無用。變量已經定義。

來源

2011-02-15 17:24:47 mario

是否有必要擁有這樣一個硬編碼的函數？

我使用此：

function insert_array($table, $data) { 
    $cols = '('; 
    $values = '('; 
    foreach ($data as $key=>$value) { 
     $value = mysql_real_escape_string($value); 
     $cols .= "$key,"; 
     $values .= "'$value',"; 
    } 
    $cols = rtrim($cols, ',').')'; 
    $values = rtrim($values, ',').')'; 
    $sql = "INSERT INTO $table $cols VALUES $values"; 
    mysql_query($sql) or die(mysql_error()); 
}

然後插入數據，而不管其名稱和列使用：

$data = array('id' => 1, 'name' => 'Bob', 'url' => 'foo.com'); 
insert_array('users', $data);

來源

2011-02-15 17:04:29 fire

+1 OMG !!我從來沒有這樣想過，非常有幫助，謝謝。 – enam 2011-02-15 17:13:00

有用的想法，但不是在這種情況下 - 爲了簡單起見，我刪除了我們通常執行的其他數據操作。所有的函數參數都不一定與表格列匹配。 – Jon 2011-02-15 17:20:49

是，如果陣列索引或變量不存在的PHP給予警告/注意。

正確的方法是檢查每個變量，然後使用它們與isset()函數。

這是一個很好的做法，在使用前檢查它們。

來源

2011-02-15 17:04:36

不是這種情況下，所有`$ a，$ b，$ c，$ d`都是定義的函數參數 – ajreal 2011-02-15 17:10:27

您需要檢查可能存在或不存在的索引。但是，您的代碼非常混亂，您的真實代碼看起來可能完全不同。在這個示例代碼中，鍵明顯存在，您只是自己創建它們。

在你的榜樣，你可以移動mysql_real_escape_string部內的，如果在您檢查變量，那麼你已經知道它們的存在。
這裏沒有理由使用數組，您可以將它們存儲在同一個變量中。
XSS-Protection（htmltentities（），注意這還不夠）應該在分散數據之前完成，而不是在存儲之前完成。只有一個原因是你最終會得到多次編碼/轉義的東西。惡意的HTML/JS在你的數據庫中不會造成任何傷害。

來源

2011-02-15 17:08:56 Berdir