php - HTML Purifier拦截请求

Question

HTML Purifier 或 CSRF Magic 之类的东西如何真正拦截 HTTP 请求？它的文档说它基于 Python 的 Django 中间件框架的想法，但我还没有找到一些关于它如何拦截 HTTP 请求的文档。它实际上不需要安装任何 PHP 扩展就可以工作。

任何人都可以阐明这个问题吗？

问候

Answer 1

CSRF Magic 使用 PHP 的 output control职能。它捕获脚本的输出，对其进行修改，并使用特殊的处理函数在打印之前修改它捕获的输出。所以，真正的魔法在于 ob_start。如果您有兴趣，请阅读它。此外，由于 CSRF Magic 是一个开源项目，您可以 read the script itself for more detailed information .

最终归结为 line 371 :

if ($GLOBALS['csrf']['rewrite'])     ob_start('csrf_ob_handler');

这一行表示，如果条件为真(通常为真)，则启动输出缓冲区 (ob_start)，并在输出完成后运行 csrf_ob_handler 在该输出上。 csrf_ob_handler 修改脚本的原始输出以添加隐藏输入，然后打印该结果。