这种创造性的输入净化方式可能会面临什么样的安全漏洞?(如有）

清除输入的标准方法是使用等命令

$url = preg_replace('|[^a-z0-9-~+_.?#=!&;,/:%@$'|*''()''x80-''xff]|i', '', $url);

$strip = array('%0d', '%0a', '%0D', '%0A');

preg_replace("/[^A-Za-z0-9 ]/", '', $string);

echo htmlentities($str);

然而，当我的用户能够在他们的输入、评论/用户名等中使用括号、括号、引号等漂亮的东西时，我喜欢。由于HTML将(之类的代码呈现为(之类的符号，所以我希望使用这种替代方法来净化它们的输入。

在我开始为可能有害的角色（如(、;或<）编写一个函数之前（所以像偷偷摸摸的eval()或<text/javascript>这样的注射是不起作用的），我试着搜索以前人们尝试过这种消毒的情况。

我没有发现

这让我觉得，在我的"创造性"消毒方法中，我一定明显忽略了一些令人难以置信的明显安全缺陷。

1. 我不会将此函数用作保护mySQL数据库的主要方法。我有新的mysqli课程。在输入&不过，查询似乎是个不错的主意
2. 我正在使用一个完全不同的函数来清理URL。这些需要一种不同的方法
3. 不过，此函数将用于在页面上显示用户输入

所以。。。。我可能错过了什么？我知道这个想法肯定有问题，因为没有其他人使用它，对吧？！有可能"重新渲染渲染的文本"或其他可怕而明显的东西吗？到目前为止，我的小功能：

• 接受meep';) drop table或alert(eval('document.body.inne' + 'rHTML'));

  function santitize_data($data)    {
  //explode the string
  //do a replacement for each character separately. Only do one replacement.
  //dont do it with preg_replace because that function searches through a string in multiple passes 
  //and replaces already-replaced characters, resulting in horrific mishmash.
  //put it back together with + signs iterating through array variables   
  $patterns = array();
  $patterns[0] = "'";
  $patterns[1] = '"';
  $patterns[2] = '!';
  $patterns[3] = '''';
  $patterns[4] = '#';
  $patterns[5] = '%';
  $patterns[6] = '&';
  $patterns[7] = '$';
  $patterns[8] = '(';
  $patterns[9] = ')';
  $patterns[10] = '/';
  $patterns[11] = ':';
  $patterns[12] = ';';
  $patterns[13] = '|';
  $patterns[14] = '<';
  $patterns[15] = '>';
  $patterns[16] = '{';
  $patterns[17] = '}';
  $replacements = array();
  $replacements[0] = '&#39;';
  $replacements[1] = '&#34;';
  $replacements[2] = '&#33';
  $replacements[3] = '&#92;';
  $replacements[4] = '&#35;';
  $replacements[5] = '&#37;';
  $replacements[6] = '&#38;';
  $replacements[7] = '&#36;';
  $replacements[8] = '&#40;';
  $replacements[9] = '&#41;';
  $replacements[10] = '&#47;';
  $replacements[11] = '&#58;';
  $replacements[12] = '&#59;';
  $replacements[13] = '&#124;';
  $replacements[14] = '&lt;';
  $replacements[15] = '&gt;';
  $replacements[16] = '&#123;';
  $replacements[17] = '&#125;';
  $split_data = str_split($data);
  foreach ($split_data as &$value) {
      for ($i=0; $i<17; $i++){
          //testing
          //echo '<br> i='.$i.' value='.$value.' patterns[i]='.$patterns[$i].' replacements[i]='.$replacements[$i].'<br>';
          if ($value == $patterns[$i]) { 
              $value = $replacements[$i];
              $i=17;    }    }    }
  unset($value); // break the reference with the last element
  $data = implode($split_data);
  //a bit of commented out code .. was using what seemed more logical before ... preg_replace .. but it parses the string in multiple passes ):
  //$data = preg_replace($patterns, $replacements, $data);
  return $data;
  } //---END function definition of santitize_data
  

• 输出结果字符串，如meep'&#59;) drop table或alert(eval('document.body.inne' + 'rHTML'))&#59;

• 并且用户看到这些在浏览器中呈现的东西，比如CCD_ 17和alert(eval('document.body.inne' + 'rHTML'));