PHP 文件搜索：实现用户输入安全验证与排除敏感字符

<?php
$dir = "data/pages/";
$exclude = array('.','..','.htaccess','index'); // 这些文件在结果中被排除

if(array_key_exists('submit', $_POST)) {
    if (empty($_POST['field1'])) { 
        echo("<p><h3>请填写所有字段</h3>");
    } else {
        if (is_dir($dir)) {
            if ($dh = opendir($dir)) {
                echo("<p><h3>&darr;搜索结果&darr;</h3>");
                while (($file = readdir($dh)) !== false) {
                    $filename = pathinfo($file, PATHINFO_FILENAME);
                    // 这里的排除逻辑只针对文件本身，而不是用户输入
                    if(preg_match("/{$_POST['field1']}/i", $filename) && !in_array($file, $exclude)) {
                        echo("<p>找到: <b><a href=\"https://mywebsite.wtf/data/pages/" . $file . "\">$filename</a>"); 
                    }
                }
                closedir($dh);
            }
        }
    }
}
?>

<?php
$isOk = true;
$excludes = array('.','..','.htaccess','index'); // 定义精确匹配的排除列表

if (in_array($_POST['field1'], $excludes, true)) {
    $isOk = false; // 如果用户输入精确匹配到排除项，则标记为不通过
}

// 后续代码将根据 $isOk 的值决定是否执行搜索
?>

<?php
$isOk = true;
$excludes = array('.','..','.htaccess','index'); // 定义包含匹配的排除列表

foreach ($excludes as $exclude_item) {
    if (str_contains($_POST['field1'], $exclude_item)) {
        $isOk = false; // 如果用户输入包含任何排除项，则标记为不通过
        break; // 找到一个匹配即可停止
    }
}

// 后续代码将根据 $isOk 的值决定是否执行搜索
?>

<?php
$dir = "data/pages/";
$file_excludes = array('.','..','.htaccess','index'); // 排除文件列表
$input_excludes = array('.','..','.htaccess','index'); // 排除用户输入列表

$isOk = true; // 默认输入是合法的

if (array_key_exists('submit', $_POST)) {
    // 1. 检查输入是否为空
    if (empty($_POST['field1'])) {
        echo("<p><h3>请填写所有字段</h3>");
        $isOk = false; // 输入为空，不通过
    } 

    // 2. 检查用户输入是否在排除列表中
    if ($isOk && in_array($_POST['field1'], $input_excludes, true)) {
        echo("<p><h3>您不能搜索该内容!</h3>");
        $isOk = false; // 输入匹配排除项，不通过
    }

    // 3. 如果输入验证通过，则执行搜索
    if ($isOk) {
        if (is_dir($dir)) {
            if ($dh = opendir($dir)) {
                echo("<p><h3>&darr;搜索结果&darr;</h3>");
                while (($file = readdir($dh)) !== false) {
                    $filename = pathinfo($file, PATHINFO_FILENAME);
                    // 这里的 $file_excludes 仍然用于过滤搜索到的文件
                    if(preg_match("/{$_POST['field1']}/i", $filename) && !in_array($file, $file_excludes)) {
                        echo("<p>找到: <b><a href=\"https://mywebsite.wtf/data/pages/" . $file . "\">$filename</a>"); 
                    }
                }
                closedir($dh);
            }
        }
    }
}
?>