能,但只适合统计 ASCII 字符频次,且返回格式反直觉。它默认返回一个 256 元素的数组,索引是 ASCII 码(0–255),值是该字符出现次数。中文、emoji、UTF-8 多字节字符会直接被拆成多个字节计数,结果完全不可信。
PHP创建文件如何确保安全_防止路径遍历攻击的验证【指南】
用户提交的文件名(比如通过表单…
技术博客
能,但只适合统计 ASCII 字符频次,且返回格式反直觉。它默认返回一个 256 元素的数组,索引是 ASCII 码(0–255),值是该字符出现次数。中文、emoji、UTF-8 多字节字符会直接被拆成多个字节计数,结果完全不可信。
用户提交的文件名(比如通过表单、URL参数)如果直接拼进 fopen() 或 file_put_contents(),就等于把目录穿越的钥匙交出去。攻击者传 ../../etc/passwd 这类路径,PHP 不会自动拦截——它照常解析、访问、写入。