php - 转义数据 - stripslashes, strip_tags

Question

为什么很多人在字符串上同时使用这两个函数？我看到很多 stripslashes(strip_tags($field));(或相反)

strip_tags 是否足以过滤任何 xss 之类的东西？

Answer 1

转义数据与 strip_tags 或 stripslashes 无关。这些函数从字符串中过滤出某些字符，同时“转义”对某些字符进行编码，这样它们就不会被浏览器或数据库解释。

您可以使用 strip_tags 删除从浏览器发送到 PHP 的字符串中的 HTML 标记。更好的是，如果您使用 htmlspecialchars 来转义任何在将数据发送回浏览器。

stripslashes从字符串中删除斜杠，如果启用了“魔术引号”，您只需要担心它。这是早期的遗留问题，当时 PHP 开发人员天真地假设来自浏览器的每条数据都将发送到数据库，并且不相信开发人员会自行逃离数据库。