回显技巧

把用户输入的回显技巧东西原样返回，听起来像复读机，回显技巧但真做起来，回显技巧门道比你想的回显技巧深。我见过不少新手写echo脚本，回显技巧第一反应就是回显技巧`print($_GET['name'])`，然后被XSS漏洞教做人。回显技巧回显不是回显技巧简单打印，是回显技巧门需要算计的手艺。

先说说最基础的回显技巧坑。你写个留言板，回显技巧用户填啥你显示啥，回显技巧这没问题。回显技巧可要是回显技巧有人填``呢？你的页面就变成了人家的跳板。我去年审计过一个老系统，回显技巧就是栽在这上面——开发觉得“就一个名字字段”，结果被注入了整段挖矿脚本。所以第一原则：回显前必须先转义。把`<`变成`<`，把引号变成`"`，这活儿看着机械，但漏一个就是事故。

但转义只是及格线。真正讲究的回显，要分场景。你是在网页里回显，还是在终端里？是给用户看，还是给管理员调试用？我见过有人把日志里的原始SQL直接回显到管理后台，好家伙，等于把数据库结构打印在公屏上。该脱敏的脱敏，该截断的截断，回显的信息量要按权限分级——普通用户看到“操作失败”就够了，具体哪行报错，那是你日志里的事。

还有个容易忽略的点：回显的时机。有些系统喜欢把错误信息攒到页面底部一次性显示，结果用户填了个长表单，提交后才发现顶部某个字段格式错了，得滚回去改。好的回显应该就近原则——哪个字段错了，就在哪个字段旁边红字提示。这不算技术难题，但很考验产品意识。我前阵子用某个银行App，转账时密码框报错，提示语却出现在页面最上方，我盯着屏幕愣了三秒才反应过来。

再说说调试回显。程序员最爱干的事就是`console.log`或者`print_r`一把梭，打完就删。可有些回显删不干净，留到生产环境就是笑话。我见过一个电商网站，下单接口返回的JSON里带着`"debug":"SELECT * FROM orders WHERE id=123"`，用户开个控制台就能看见。这种回显，要么加开关，要么走独立日志通道，别和业务数据混在一起。

最后提个偏门但好用的技巧：回显也能当探针用。比如你怀疑CDN缓存了动态页面，可以临时在响应头里加个`X-Cache-Debug: timestamp`，刷新几次看时间戳变不变。这招比看响应头里的`Age`字段直观多了。还有，判断用户是否走了代理，回显客户端的`Accept-Language`和你服务器收到的对比一下，能发现不少猫腻。

回显这事儿，往小了说是输出处理，往大了说是信息暴露面的管理。你回显的每一个字节，都在告诉别人你的系统里有什么。所以下次写`echo`之前，多问自己一句：这玩意儿该让谁看见？看见之后他能干啥？想明白这两点，你的代码就能少挨几次打。