探究 WordPress `wp_check_invalid_utf8()` 函数的源码：如何过滤非法的 UTF-8 字符以增强安全性。

各位观众老爷，大家好！

今天咱们来聊聊 WordPress 里面一个经常被忽略，但其实相当重要的函数：wp_check_invalid_utf8()。 别看名字长，其实它干的事儿很简单，就是帮我们把一些非法的 UTF-8 字符给过滤掉，防止有人搞事情，增强网站的安全性。

咱们先来热热身，说说为什么要过滤这些非法的 UTF-8 字符。

为啥要对付那些不守规矩的 UTF-8 字符？

想象一下，如果你的网站允许用户提交评论，而有人在评论里塞入一些奇奇怪怪的字符，这些字符可能会导致以下问题：

• XSS 攻击： 一些恶意字符可能被浏览器解析成 JavaScript 代码，然后你的网站就被黑客控制了。
• SQL 注入： 虽然 wp_check_invalid_utf8() 不是专门用来防止 SQL 注入的，但清理掉一些非法字符，可以减少 SQL 注入的风险。
• 页面显示异常： 非法字符可能会导致页面乱码，影响用户体验。
• 数据库存储问题： 一些数据库可能无法正确存储这些非法字符，导致数据损坏。

所以，过滤非法 UTF-8 字符，绝对是百利而无一害的。

wp_check_invalid_utf8() 函数在哪儿？

这个函数藏身于 wp-includes/formatting.php 文件中。 咱们先来看看它的庐山真面目。

function wp_check_invalid_utf8( $string, $strip = false ) {
    $string = (string) $string;

    if ( 0 === strlen( $string ) ) {
        return $string;
    }

    // Store the site charset as a static to avoid multiple calls to get_option()
    static $charset = null;
    if ( is_null( $charset ) ) {
        $charset = get_option( 'blog_charset' );
    }

    if ( 'UTF-8' != $charset ) {
        $string = mb_convert_encoding( $string, 'UTF-8', $charset );
    }

    if ( ! seems_utf8( $string ) ) {
        if ( $strip ) {
            return '';
        } else {
            return $string;
        }
    }

    // Check for conversion errors.
    $string = str_replace( array( '¤', '¦', '¨', '©', '¬', '®', '°', '±', '´', 'µ', '¶', '¸', 'º', '»', '¼', '½', '¾', '¿' ), '', $string );

    // Check for control characters.
    $string = preg_replace( '/[x00-x08x0Bx0Cx0E-x1Fx7F]+/u', '', $string );

    if ( $strip ) {
        $string = wp_strip_all_tags( $string );
        $string = preg_replace( '/[^A-Za-z0-9x80-xFF]/', '', $string );
    }

    return $string;
}

逐行解读，看看它都干了些啥？

1. 类型转换和空字符串检查：

   $string = (string) $string;
   
   if ( 0 === strlen( $string ) ) {
       return $string;
   }

   • 先把输入强制转换成字符串类型，防止传入其他类型的数据导致错误。
   • 如果字符串是空的，那就直接返回，省事儿。

2. 字符集转换：

   static $charset = null;
   if ( is_null( $charset ) ) {
       $charset = get_option( 'blog_charset' );
   }
   
   if ( 'UTF-8' != $charset ) {
       $string = mb_convert_encoding( $string, 'UTF-8', $charset );
   }

   • 这段代码的作用是确保字符串是 UTF-8 编码。
   • 首先，它会检查是否已经获取了网站的字符集（blog_charset）。 如果没有，就通过 get_option() 函数获取。 使用 static 变量是为了避免多次调用 get_option()，提高性能。
   • 如果网站的字符集不是 UTF-8，就使用 mb_convert_encoding() 函数将字符串转换成 UTF-8 编码。 这个函数需要 mbstring 扩展的支持。

3. UTF-8 验证：

   if ( ! seems_utf8( $string ) ) {
       if ( $strip ) {
           return '';
       } else {
           return $string;
       }
   }

   • 这里使用了一个名为 seems_utf8() 的函数来判断字符串是否看起来像 UTF-8 编码。
   • 如果 seems_utf8() 返回 false，表示字符串可能不是有效的 UTF-8 编码。
   • 如果 $strip 参数为 true，就直接返回一个空字符串，相当于把整个字符串都丢弃了。 否则，就直接返回原始字符串。
   • seems_utf8() 函数也位于 wp-includes/functions.php 文件中，它的实现方式是通过正则表达式来匹配 UTF-8 编码的模式。
   • 注意：seems_utf8() 只是一个简单的检查，并不能保证字符串一定是有效的 UTF-8 编码。

4. 移除特定字符：

   $string = str_replace( array( '¤', '¦', '¨', '©', '¬', '®', '°', '±', '´', 'µ', '¶', '¸', 'º', '»', '¼', '½', '¾', '¿' ), '', $string );

   • 这段代码使用 str_replace() 函数移除一些特定的字符。 这些字符通常是 ISO-8859-1 编码中的一些特殊符号，在 UTF-8 编码中可能没有对应的表示，或者可能被用来进行攻击。
   • 这些字符都是一些看起来像是版权符号、度数符号之类的玩意儿。

5. 移除控制字符：

   $string = preg_replace( '/[x00-x08x0Bx0Cx0E-x1Fx7F]+/u', '', $string );

   • 这段代码使用 preg_replace() 函数和正则表达式来移除控制字符。
   • 正则表达式 '/[x00-x08x0Bx0Cx0E-x1Fx7F]+/u' 匹配 ASCII 码值为 0 到 8、11、12、14 到 31，以及 127 的字符。 这些字符都是控制字符，通常不可见，可能会导致一些问题。
   • /u 修饰符表示按照 UTF-8 编码来处理字符串。

6. 移除 HTML 标签和特殊字符（可选）：

   if ( $strip ) {
       $string = wp_strip_all_tags( $string );
       $string = preg_replace( '/[^A-Za-z0-9x80-xFF]/', '', $string );
   }

   • 如果 $strip 参数为 true，这段代码会执行额外的清理操作。
   • wp_strip_all_tags() 函数会移除字符串中的所有 HTML 标签。 这个函数位于 wp-includes/formatting.php 文件中。
   • preg_replace( '/[^A-Za-z0-9x80-xFF]/', '', $string ) 这行代码会移除所有不在 A-Z、a-z、0-9 和扩展 ASCII 字符范围内的字符。 也就是说，它只保留字母、数字和一些特殊字符。

7. 返回处理后的字符串：

   return $string;

   • 最后，函数返回经过处理后的字符串。

参数详解：

参数	类型	描述
$string	string	要检查和过滤的字符串。
$strip	bool	可选参数，默认为 false。 如果设置为 true，函数会移除 HTML 标签和非字母数字字符。 相当于更激进的清理模式。

使用场景：

• 用户提交的内容： 在保存用户提交的评论、文章、用户名等数据之前，可以使用 wp_check_invalid_utf8() 函数来清理数据，防止恶意代码注入。
• 从外部 API 获取的数据： 从外部 API 获取的数据可能包含非法字符，可以使用 wp_check_invalid_utf8() 函数来清理数据，确保数据的安全性。
• 导入数据： 在导入数据之前，可以使用 wp_check_invalid_utf8() 函数来清理数据，防止数据损坏。

使用示例：

$dirty_string = "This is a string with some invalid UTF-8 characters: x81x82x83";
$clean_string = wp_check_invalid_utf8( $dirty_string );
echo "Original string: " . $dirty_string . "n";
echo "Cleaned string: " . $clean_string . "n";

$dirty_string_with_html = "<p>This is a string with some HTML and invalid UTF-8 characters: x81x82x83</p>";
$clean_string_with_html = wp_check_invalid_utf8( $dirty_string_with_html, true );
echo "Original string with HTML: " . $dirty_string_with_html . "n";
echo "Cleaned string with HTML: " . $clean_string_with_html . "n";

注意事项：

• wp_check_invalid_utf8() 函数并不能完全保证字符串的安全性。 它只能清理掉一些常见的非法字符。
• 如果 $strip 参数设置为 true，函数会移除 HTML 标签和非字母数字字符，这可能会导致一些数据丢失。 因此，在使用 $strip = true 之前，需要仔细考虑是否会影响网站的功能。
• 建议在使用 wp_check_invalid_utf8() 函数的同时，还应该使用其他安全措施，例如输入验证、输出转义等，来增强网站的安全性。
• mbstring 扩展是 mb_convert_encoding() 函数所依赖的，如果你的服务器上没有安装这个扩展，你需要先安装它。

总结：

wp_check_invalid_utf8() 函数是 WordPress 中一个非常有用的安全工具，它可以帮助我们清理掉一些非法的 UTF-8 字符，防止恶意代码注入，增强网站的安全性。 虽然它不能完全保证字符串的安全性，但它可以作为安全防御的第一道防线。 在处理用户提交的数据或者从外部 API 获取的数据时，建议使用这个函数来清理数据。

好了，今天的讲座就到这里。 希望大家以后在开发 WordPress 网站的时候，能够多多关注安全问题，使用 wp_check_invalid_utf8() 函数，让你的网站更加安全可靠！ 谢谢大家！