Think in Drupal

当你编写自己的模块时，需要注意的另一个方面是“access arguments”键，你会在菜单钩子定义中的每个菜单项中用到它。在前面我们用来说明不安全代码的例子中，我们使用了下面的access参数：

如果在你的SQL中，有多个只有在运行时才能确定的变量，这并不妨碍让你使用占位符。你将需要使用占位符比如'%s' 或者 %d，通过编程来创建你的SQL，接着你需要传递一组值来填充这些占位符。如果你自己直接调用db_escape_string()，那么你就做错了。下面的例子展示了占位符的使用，这里假定我们想取出，匹配特定节点类型的已发布节点的ID和标题：

老葛的Drupal培训班 Think in Drupal

攻击网站的一个常见方式称为SQL注入。让我们看一个没有考虑安全性的程序员编写的模块。他仅仅想用一种简单的方式，来列出特定类型节点的所有标题：

模块常常处理用户提交的URLs并显示它们。我们需要一些机制来确保用户提供的值确实是一个合法的URL。Drupal提供了函数check_url()，它实际上是仅仅对filter_xss_bad_protocol()做了封装。它通过检查来确保URL中的协议是该Drupal站点所允许的协议（参看“使用filter_xss()阻止跨站点脚本攻击”部分的第5步），并使用check_plain()来处理URL。

有时你想让你的模块为后台管理页面生成HTML。由于我们对后台管理页面进行了访问控制，所以我们可以假定这些可以访问后台管理页面的用户比普通用户更可信。你可以为后台管理页面建立一个特定的过滤器并使用过滤器系统，但是这有点麻烦。因此，Drupal提供了函数filter_xss_admin()。它使用一组更加自由的可用标签列表，简单的对filter_xss()做了封装，除了<script> 和 <style>标签以外，它包含了所有的其它标签。使用它的一个例子是在主题中展示站点的宗旨（mission）：

跨站点脚本（XSS）是攻击网站的一种常用方式，攻击者可以向一个网页插入他/她自己的代码，然后使用这些代码进行各种破坏活动。

当你对你用到的文本不信任，并且你不想在文本中有任何markup（标识字体）时，那么就可以使用check_plain()。