PHP安全（二）

前面讲到输入过滤，现在谈谈输出转义

假设你把用户输入的记录原封不动的保存到你的数据库里

如下代码：

<script>

window.location.href='get.php?cookie='+document.cookie;

</script>

这样，当其他用户在访问显示该笔记录的页面时，页面执行到该处，就会自动跳转到

get.php,并且把当前USER所使用的COOKIE传递过来。

说到这里，我想这时候的cookie就已经不是秘密了。相信很多程序都是把类似的密码等存放到

cookie，如果密码等重要信息不加密或者加密不严格，那该密码就失去了意义了。

所以最好是在输出的时候采用

htmlentities()函数把该笔记录转义后在echo出来。