PHP:filter如何巧妙应用于数据流处理，实现高效的数据过滤和转换？

本文共计1308个文字，预计阅读时间需要6分钟。

PHP中的`filter`协议是一个独特的协议，利用它可以创建许多妙用。以下是一些有意义的点：

1. 数据过滤：可以用于过滤输入数据，防止XSS攻击。

2.数据加密：可以结合加密算法，对数据进行加密处理。

3.数据压缩：可以用于压缩数据，减少传输量。

尽管如此，我并未准备参加XDCTF2016的题目。

php://filter是PHP中独有的协议，利用这个协议可以创造很多“妙用”，本文说几个有意思的点，剩下的大家自己下去体会。本来本文的思路我上半年就准备拿来做XDCTF2016的题目的，没想到被三个白帽的一题抢先用了，我也就只好提前分享一下。

XXE中的使用

php://filter之前最常出镜的地方是XXE。由于XXE漏洞的特殊性，我们在读取HTML、PHP等文件时可能会抛出此类错误parser error : StartTag: invalid element name 。其原因是，PHP是基于标签的脚本语言，<?php ... ?>这个语法也与XML相符合，所以在解析XML的时候会被误认为是XML，而其中内容（比如特殊字符）又有可能和标准XML冲突，所以导致了出错。

那么，为了读取包含有敏感信息的PHP等源文件，我们就要先将“可能引发冲突的PHP代码”编码一遍，这里就会用到php://filter。

php://filter是PHP语言中特有的协议流，作用是作为一个“中间流”来处理其他流。