php防止sql注入原理介绍

更新时间：2016年11月25日 15:23 点击：2020

虽然国内很多PHP程序员仍在依靠addslashes防止SQL注入，还是建议大家加强中文防止SQL注入的检查。addslashes的问题在于黑客可以用0xbf27来代替单引号，而addslashes只是将0xbf27修改为0xbf5c27，成为一个有效的多字节字符，其中的0xbf5c仍会被看作是单引号，所以addslashes无法成功拦截。

当然addslashes也不是毫无用处，它是用于单字节字符串的处理，多字节字符还是用mysql_real_escape_string吧。

打开magic_quotes_gpc来防止SQL注入

php.ini中有一个设置：magic_quotes_gpc = Off
　　这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，
　　比如把 ' 转为 '等，对于防止sql注射有重大作用。

如果magic_quotes_gpc=Off，则使用addslashes()函数

另外对于php手册中get_magic_quotes_gpc的举例：

代码如下

复制代码

if (!get_magic_quotes_gpc()) {

　　$lastname = addslashes($_POST[‘lastname’]);

　　} else {

　　$lastname = $_POST[‘lastname’];

}

最好对magic_quotes_gpc已经开放的情况下，还是对$_POST[’lastname’]进行检查一下。

再说下mysql_real_escape_string和mysql_escape_string这2个函数的区别：

mysql_real_escape_string 必须在(PHP 4 >= 4.3.0, PHP 5)的情况下才能使用。否则只能用 mysql_escape_string ，两者的区别是：mysql_real_escape_string 考虑到连接的当前字符集，而mysql_escape_string 不考虑。

（1）mysql_real_escape_string -- 转义 SQL 语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集

使用方法如下：

代码如下	复制代码
$sql = "select count(*) as ctr from users where username02.='".mysql_real_escape_string($username)."' and 03.password='". mysql_real_escape_string($pw)."' limit 1";

自定函数

代码如下

复制代码

总结一下：

* addslashes() 是强行加;

* mysql_real_escape_string() 会判断字符集，但是对PHP版本有要求;
* mysql_escape_string不考虑连接的当前字符集。
dz中的防止sql注入就是用addslashes这个函数，同时在dthmlspecialchars这个函数中有进行一些替换$string = preg_replace(/&((#(d{3,5}|x[a-fA-F0-9]{4}));)/, &1,这个替换解决了注入的问题，同时也解决了中文乱码的一些问题。

本文章来给大家总结一下在php中常用的一些防php注入,sql注入的一些方法介绍，在php中提供了htmlspecialchars/addslashes/stripslashes/strip_tags/mysql_real_escape_string等几个函数，有需要了解的朋友可参考。

下面针对常用表单特殊字符处理进行总结：

测试字符串：

代码如下

复制代码

$dbstr='D:test
<a href="http://www.111cn.net">http://www.111cn.net</a>,天缘博客
'!='1' OR '1'
</DIV>
<script language="javascript" type="text/javascript">alert("Fail");</script>

<?php echo " PHP OUTPUT"; ?>';

测试代码：

代码如下

复制代码

header("Content-Type: text/html; charset=UTF-8");
echo "------------------------------------------------------ rn";
echo $dbstr." rn------------------------------------------------------ rn";
$str=fnAddSlashes($_POST['dd']);
echo $str." rn------------------------------------------------------ rn";

$str = preg_replace("/s(?=s)/","\1",$str);//多个连续空格只保留一个
$str = str_replace("r"," ",$str);
$str = str_replace("n"," ",$str);
$str = preg_replace("/((<br/?>)+)/i", " ", $str);//多个连续 标签只保留一个

$str=stripslashes($str);
echo strip_tags($str)." rn------------------------------------------------------ rn";
echo htmlspecialchars($str)." rn------------------------------------------------------ rn";
echo htmlentities($str)." rn------------------------------------------------------ rn";
echo mysql_escape_string($str)." rn------------------------------------------------------ rn";

字符串包含：反斜杠路径，单双引号，HTML标记、链接、未封堵的HTML标记，数据库语法容错，JS执行判断，PHP执行判断，多个连续回车换行符和空格。其中有些概念有包含关系

二、表单提交数据处理
1、强制加入反斜线

由于有些主机默认开启魔术引用get_magic_quotes_gpc，有些可能关闭，所以在程序上最好一律强制加入反斜线，这样可以统一处理，字符涉及单引号、双引号和反斜线。

代码如下	复制代码
function fnAddSlashes($data) { if(!get_magic_quotes_gpc()) //只对POST/GET/cookie过来的数据增加转义 return is_array($data)?array_map('addslashes',$data):addslashes($data); else return $data; }

2、对特殊字符处理

以下是几个常用字符串处理，可以视具体情况取舍。由于上面已经对提交表单数据进行一次转义，所以如果需要对内容替换或过滤需要考虑addslashes对相关字符的影响，替换或查找时需考虑反斜杠的添加。其它字符替换不影响，比如rn替换。

A、多个连续空格只保留一个

代码如下	复制代码
$data = preg_replace("/s(?=s)/","\1",$data );//多个连续空格只保留一个

B、回车换行替换成

代码如下	复制代码
$data = str_replace("r","<br/>",$data ); $data = str_replace("n","<br/>",$data );

//html中默认 没封堵，xhtml中 有封堵，建议使用 ，更多区别：

C、多个连续 只保留一个

代码如下	复制代码
$data = preg_replace("/((<br/?>)+)/i", "<br/>", $data );//多个连续<br/>标签只保留一个

D、全部过滤HTML标记

该方式是全部过滤潜在危险的标记，包括HTML、链接、未封堵HTML标记、JS、PHP。

使用函数strip_tags($data)

该函数使用后会过滤全部的HTML标记（包括链接）和PHP标记、JS代码等，其中链接会保留链接原文只是去除<a>标记和href部分内容，PHP标记和JS标记则会整体去除，包括中间的内容，如下图：

E、不过滤标记，只是把他们HTML化

该方法是把原提交内容全部按照普通文本来处理。

使用函数htmlspecialchars($data)，该函数执行后会把提交数据全部按照普通文本来展示，如下图：

使用htmlentities函数执行结果（中文显示乱码）：

三、写入数据库

由于使用addslashes($data)后对于高级的可信任用户可以直接写入数据库，但是addslashes无法拦截使用0xbf27代替的单引号，所以最好还是使用mysql_real_escape_string或mysql_escape_string进行转义，不过转义之前需先去除反斜杠（假设已默认开启addslashes）。

代码如下

复制代码

function fnEscapeStr($data)

{

if (get_magic_quotes_gpc())
{
$data= stripslashes($value);
}
$data="'". mysql_escape_string($value) ."'";
return $data;
}

$data=fnEscapeStr($data);

PHP通用防注入安全代码

代码如下

复制代码

说明：
判断传递的变量中是否含有非法字符
如$_POST、$_GET
功能：
防注入
**************************/
//要过滤的非法字符
$ArrFiltrate=array(”‘”,”;”,”union”);
//出错后要跳转的url,不填则默认前一页
$StrGoUrl=”";
//是否存在数组中的值
function FunStringExist($StrFiltrate,$ArrFiltrate){
foreach ($ArrFiltrate as $key=>$value){
if (eregi($value,$StrFiltrate)){
return true;
}
}
return false;
}
//合并$_POST 和 $_GET
if(function_exists(array_merge)){
$ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS);
}else{
foreach($HTTP_POST_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
foreach($HTTP_GET_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
}
//验证开始
foreach($ArrPostAndGet as $key=>$value){
if (FunStringExist($value,$ArrFiltrate)){
echo “alert(/”Neeao提示，非法字符/”);”;
if (empty($StrGoUrl)){
echo “history.go(-1);”;
}else{
echo “window.location=/”".$StrGoUrl.”/”;”;
}
exit;
}
}
?>

/*************************
保存为checkpostandget.php
然后在每个php文件前加include(“checkpostandget.php“);即可

网上生成php验证码程序用很多，下面我来给大家分享一款超不错的php验证码程序代码,有需要的朋友可参考。

验证码识别一般分为以下几个步骤：

1. 取出字模
2. 二值化
3. 计算特征
4. 对照样本

代码如下

复制代码

function _code($_code_length = 4, $_width = 75, $_height = 25){
 for($i=0;$i<$_code_length;$i++){
 $_nmsg .= dechex(mt_rand(0,15));
 }
 $_SESSION["code"] = $_nmsg;

$_img = imagecreatetruecolor($_width, $_height);

$_white = imagecolorallocate($_img, 250, 250, 250);

imagefill($_img, 0, 0, $_white);

$_gray = imagecolorallocate($_img, 196, 196, 196);

imagerectangle($_img, 0, 0, $_width-1, $_height-1, $_gray);

for ($i=0; $i < 6; $i++) {
 $_md_color = imagecolorallocate($_img, mt_rand(200,255), mt_rand(200,255), mt_rand(200,255));
 imageline($_img, mt_rand(0,$_width), mt_rand(0, $_height),mt_rand(0,$_width), mt_rand(0, $_height), $_md_color);
 }

for ($i=0; $i < 50; $i++) {
 $_md_color = imagecolorallocate($_img, mt_rand(200,255), mt_rand(200,255), mt_rand(200,255));
 imagestring($_img, 1, mt_rand(1,$_width-5), mt_rand(1, $_height-5), "*", $_md_color);
 }

for ($i=0; $i < $_code_length ; $i++) {
 $_md_color = imagecolorallocate($_img, mt_rand(0,102), mt_rand(0,102), mt_rand(0,102));
 imagestring($_img, 5, $i * $_width/$_code_length+ mt_rand(1, 10), mt_rand(1, $_height/2), $_SESSION["code"][$i], $_md_color);
 }

header("Content-Type:image/png");

imagepng($_img);

imagedestroy($_img);
}

验证码使用方法

代码如下

复制代码

$getcode = $_POST['code'];

if( $_SESSION["code"] = $getcode )
{
echo ' 验证合法，进入下一步';
unset( $_SESSION["code"] );
}
else
{
echo ' 验证码不正确';
header('location:vial.php');
}

在网站开发中为了提供用户体验我们多数都使用ajax来做一些操作，下面我来介绍一个利用ajax实现无刷新页面的验证码ajax验证有需要的朋友可参考。

验证码生成程序我这里就不介绍了，大家可参考http://www.111cn.net/phper/phpanqn/46698.htm 下面介绍一个简单的

代码如下

复制代码

<?php
session_start();
//设置: 你可以在这里修改验证码图片的参数
$image_width = 120;
$image_height = 40;
$characters_on_image = 6;
$font = './monofont.ttf';

//以下字符将用于验证码中的字符
//为了避免混淆去掉了数字1和字母i
$possible_letters = '23456789bcdfghjkmnpqrstvwxyz';
$random_dots = 10;
$random_lines = 30;
$captcha_text_color="0x142864";
$captcha_noice_color = "0x142864";

$code = '';

$i = 0;
while ($i < $characters_on_image) {
 $code .= substr($possible_letters, mt_rand(0, strlen($possible_letters)-1), 1);
 $i++;
}

$font_size = $image_height * 0.75;
$image = @imagecreate($image_width, $image_height);

/* 设置背景、文本和干扰的噪点 */
$background_color = imagecolorallocate($image, 255, 255, 255);

$arr_text_color = hexrgb($captcha_text_color);
$text_color = imagecolorallocate($image, $arr_text_color['red'],
$arr_text_color['green'], $arr_text_color['blue']);

$arr_noice_color = hexrgb($captcha_noice_color);
$image_noise_color = imagecolorallocate($image, $arr_noice_color['red'],
$arr_noice_color['green'], $arr_noice_color['blue']);

/* 在背景上随机的生成干扰噪点 */
for( $i=0; $i<$random_dots; $i++ ) {
 imagefilledellipse($image, mt_rand(0,$image_width),
 mt_rand(0,$image_height), 2, 3, $image_noise_color);
}

/* 在背景图片上，随机生成线条 */
for( $i=0; $i<$random_lines; $i++ ) {
 imageline($image, mt_rand(0,$image_width), mt_rand(0,$image_height),
 mt_rand(0,$image_width), mt_rand(0,$image_height), $image_noise_color);
}

/* 生成一个文本框，然后在里面写生6个字符 */
$textbox = imagettfbbox($font_size, 0, $font, $code);
$x = ($image_width - $textbox[4])/2;
$y = ($image_height - $textbox[5])/2;
imagettftext($image, $font_size, 0, $x, $y, $text_color, $font , $code);

/* 将验证码图片在HTML页面上显示出来 */
header('Content-Type: image/jpeg');
// 设定图片输出的类型
imagejpeg($image);
//显示图片
imagedestroy($image);
//销毁图片实例
$_SESSION['6_letters_code'] = $code;

function hexrgb ($hexstr) {
 $int = hexdec($hexstr);

 return array( "red" => 0xFF & ($int >> 0x10),
 "green" => 0xFF & ($int >> 0x8),
 "blue" => 0xFF & $int
 );
}
?>

验证码

生成后，我们要在实际的项目中应用，通常我们使用ajax可以实现点击验证码时刷新生成新的验证码（有时生成的验证码肉眼很难识别），即“看不清换一张”。填写验证码后，还需要验证所填验证码是否正确，验证的过程是要后台程序来完成，但是我们也可以通过ajax来实现无刷新验证。

验证验证码正确或错误的方法
验证码图片上的文字被存放到了SESSION 变量里面，验证的时候，我们需要将SESSION 里面的值和用户输入的值进行比较即可。

$_SESSION[6_letters_code] – 存放着验证码的文字值
$_POST[6_letters_code] – 这是用户输入的验证码的内容

我们建立一个前端页面index.html，载入jquery，同时在body中加入验证码表单元素：

代码如下	复制代码
<p>验证码：<input type="text" class="input" id="code_num" name="code_num" maxlength="4" /> <img src="code_num.php" id="getcode_num" title="看不清，点击换一张" align="absmiddle"></p> <p><input type="button" class="btn" id="chk_num" value="提交" /></p>

html代码中，<img src="code_num.php"即调用了生成的验证码，当点击验证码时，刷新生成新的验证码：

代码如下	复制代码
$(function(){ //数字验证 $("#getcode_num").click(function(){ $(this).attr("src",'code_num.php?' + Math.random()); }); ... });

刷新验证码，其实就是重新请求了验证码生成程序，这里要注意的是调用code_num.php时要带上随机参数防止缓存。接下来填写好验证码之后，点“提交”按钮，通过$.post()，前端向后台chk_code.php发送ajax请求。

代码如下	复制代码
$(function(){ ... $("#chk_num").click(function(){ var code_num = $("#code_num").val(); $.post("chk_code.php?act=num",{code:code_num},function(msg){ if(msg==1){ alert("验证码正确！"); }else{ alert("验证码错误！"); } }); }); });

后台chk_code.php验证：

代码如下	复制代码
session_start(); $code = trim($_POST['code']); if($code==$_SESSION["helloweba_num"]){ echo '1'; }

后台根据提交的验证码与保存在session中的验证码比对，完成验证。

本文章给大家介绍利用session存储与gd库一并生成验证码程序，同时会加入一些干扰元素，这样就可以简单的防机器注册了，下面我来给各位同学介绍介绍。

PHP验证码并生成图片程序，采用了session识别，稍微改进了一下目前网络上流传的PHP验证码，加入杂点，数字颜色随机显示，控制4位数字显示；话不多说了，程序如下，分享出来。

新建yz.php验证码生成文件：

注意：以下代码需要打开php的GD库，修改php.in文件的配置，把已经注释掉的行之前的分号取消即可：extension=php_gd2.dll。

代码如下

复制代码

<?php
 class ValidationCode
 {
 //属性
 private $width;
 private $height;
 private $codeNum;
 private $image;
 private $disturbColorNum; //干扰元素数目
 private $checkCode;
 function __construct($width=80,$height=20,$codeNum=4)
 {
 $this->width=$width;
 $this->height=$height;
 $this->codeNum=$codeNum;
 $number=floor($width*$height/15);
 if($number>240-$codeNum)
 {
 $this->disturbColorNum=240-$codeNum;
 }else
 {
 $this->disturbColorNum=$number;
 }
 $this->checkCode=$this->createCheckcode();
 }
 function getCheckCode()
 {
 return $this->checkCode;
 }
 private function createImage(){
 $this->image=imagecreatetruecolor($this->width,$this->height);
 $backcolor=imagecolorallocate($this->image,rand(225,255),rand(225,255),rand(255,255));
 imagefill($this->image,0,0,$backcolor);
 $border=imagecolorallocate($this->image,0,0,0);
 imagerectangle($this->image,0,0,$this->width-1,$this->height-1,$border);
 }
 private function setDisturbColor(){
 for($i=0;$i<$this->disturbColorNum;$i++){
 $color=imagecolorallocate($this->image,rand(0,255),rand(0,255),rand(0,255));
 imagesetpixel($this->image,rand(1,$this->width-2),rand(1,$this->height-2),$color);
 }
 for($i=0;$i<10;$i++)
 {
 $color=imagecolorallocate($this->image,rand(0,255),rand(0,255),rand(0,255));
 imagearc($this->image,rand(-10,$this->width),rand(-10,$this->height),rand(30,300),rand(20,300),55,44,$color);
 }
 }
 private function outputText($fontFace=""){
 for($i=0;$i<$this->codeNum;$i++)
 {
 $fontcolor=imagecolorallocate($this->image,rand(0,128),rand(0,128),rand(0,128));
 if($fontFace=="")
 {
 $fontsize=rand(3,5);
 $x=floor($this->width/$this->codeNum)*$i+5;
 $y=rand(0,$this->height-15);
 imagechar($this->image,$fontsize,$x,$y,$this->checkCode{$i},$fontcolor);
 }
 else
 {
 $fontsize=rand(12,16);
 $x=floor(($this->width-8)/$this->codeNum)*$i+8;
 $y=rand($fontsize,$this->height-8);
 imagettftext($this->image,$fontsize,rand(-45,45),$x,$y,$fontcolor,$fontFace,$this->checkCode{$i});
 }
 }
 }

private function createCheckCode(){
 $code="23456789abcdefghijkmnpqrstuvwrst";
 $str="";
 for($i=0;$i<$this->codeNum;$i++)
 {
 $char=$code{rand(0,strlen($code)-1)};
 $str.=$char;
 }
 return $str;
 }
 private function outputImage()
 {
 if(imagetypes()&IMG_GIF)
 {
 header("Content-Type:image/gif");
 imagepng($this->image);
 }else if(imagetypes()&IMG_JPG)
 {
 header("Content-Type:image/jpeg");
 imagepng($this->image);
 }else if(imagetypes()&IMG_PNG)
 {
 header("Content-Type:image/png");
 imagepng($this->image);
 }else if(imagetypes()&IMG_WBMP){
 header("Content-Type:image/vnd.wap.wbmp");
 imagepng($this->image);
 }else
 {
 die("PHP不支持图片验证码");
 }
 }
 //通过该方法向浏览器输出图像
 function showImage($fontFace="")
 {
 //创建图像背景
 $this->createImage();
 //设置干扰元素
 $this->setDisturbColor();
 //向图像中随机画出文本
 $this->outputText($fontFace);
 //输出图像
 $this->outputImage();
 }

到具体调用的地方，用这样的形式：<img src="/yz.php" align="absmiddle" />就可以了；验证的时候验证session：$_SESSION['VCODE']的值就可以了。还可以对以上代码稍微改进，改成两个数字相加求和的形式

[!--infotagslink--]

上一篇: PHP 生成英文单词验证码程序代码

下一篇: php中safe_mode安全模式配置详解

phpems SQL注入(cookies)分析研究
PHPEMS（PHP Exam Management System）在线模拟考试系统基于PHP+Mysql开发，主要用于搭建模拟考试平台，支持多种题型和展现方式，是国内首款支持题冒题和自动评分与教师评分相...2016-11-25
ASP/PHP sql注入语句整理大全
SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作标准注入语句1.判...2016-11-25
PHP防止SQL注入的例子
防止SQL注入是我们程序开发人员必须要做的事情了，今天我们就来看一篇关于PHP防止SQL注入的例子了，具体的实现防过滤语句可以参考下面来看看吧。使用prepared以及参...2016-11-25
AngularJS 依赖注入详解及示例代码
本文主要介绍AngularJS 依赖注入的知识，这里整理了相关的基础知识，并附示例代码和实现效果图，有兴趣的小伙伴可以参考下...2016-08-24
PHP中自带函数过滤sql注入代码分析
SQL注入攻击是黑客攻击网站最常用的手段。如果你的站点没有使用严格的用户输入检验，那么常容易遭到SQL注入攻击。SQL注入攻击通常通过给站点数据库提交不良的数据或...2016-11-25
PHP的运行机制与原理(底层)
说到php的运行机制还要先给大家介绍php的模块，PHP总共有三个模块：内核、Zend引擎、以及扩展层；PHP内核用来处理请求、文件流、错误处理等相关操作；Zend引擎（ZE）用以将源文件转换成机器语言，然后在虚拟机上运行它；扩展层是一组...2015-11-24
java中Base64编码原理实例讲解
这篇文章主要介绍了java中Base64编码原理实例讲解，文章讲解的很清晰，有对于这方面不太懂的同学可以研究下...2021-02-10
Vue中key的作用及原理详解
本文主要介绍了Vue3中key的作用和工作原理，文中通过示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下...2021-10-13
Spring boot 无法注入service问题
这篇文章主要介绍了Spring boot 无法注入service问题，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教...2021-10-09
C# URL短地址压缩算法及短网址原理解析
这篇文章主要介绍了C# URL短地址压缩算法及短网址原理解析,本文重点给出了算法代码,需要的朋友可以参考下...2020-06-25
在Visual Studio 中使用git及Git概念
Git是一个开源的分布式版本控制系统，可以有效、高速的处理从很小到非常大的项目版本管理，是目前使用范围最广的版本管理工具，本文重点给大家介绍在Visual Studio 中使用git及git的工作原理，感兴趣的朋友一起看看吧...2021-05-19
Spring 配置文件字段注入到List、Map
这篇文章主要介绍了Spring 配置文件字段注入到List、Map,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2020-10-19
Python基础之Socket通信原理
这篇文章主要介绍了Python基础之Socket通信原理,文中有非常详细的代码示例,对正在学习python基础的小伙伴们有非常好的帮助,需要的朋友可以参考下...2021-04-22
php sql防注入以及 html 过滤安全函数
方法一过滤html自定义函数代码如下复制代码 function ihtmlspecialchars($string) { if(is_array($string)) { foreach($string as $key =>...2016-11-25
sql安全之SQL注入漏洞拖库原理解析
本文章以自己的一些经验来告诉你黑客朋友们会怎么利用你数据库的sql漏洞来把你的数据库下载哦，有需要的同这参考一下本文章。在数据库中建立一张表：代码...2016-11-25
.Net防sql注入的几种方法
这篇文章主要给大家总结介绍了关于.Net防sql注入的几种方法，文中通过示例代码介绍的非常详细，对大家学习或者使用.Net具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧...2021-09-22
ASP.NET防止SQL注入的方法示例
这篇文章主要介绍了ASP.NET防止SQL注入的方法,结合具体实例形式分析了asp.net基于字符串过滤实现防止SQL注入的相关操作技巧,需要的朋友可以参考下...2021-09-22
java进阶之了解SpringBoot的配置原理
今天带大家了解SpringBoot的相关知识,文中对SpringBoot的配置原理作了非常详细的图文示例及介绍,需要的朋友可以参考下...2021-06-04
SpringBoot属性注入的多种方式实例
在 SpringBoot中,提供了一种新的属性注入方式,支持各种java基本数据类型及复杂类型的注入,下面这篇文章主要给大家介绍了关于SpringBoot属性注入的多种方式,需要的朋友可以参考下...2021-10-30
JavaScript 详解预编译原理
这篇文章主要介绍了JavaScript 详解预编译原理的相关资料,需要的朋友可以参考下...2017-01-26

php防止sql注入原理介绍

相关文章

阁下可能感兴趣的内容

推荐阅读