php - 全面的服务器端验证

Question

我目前有一个相当强大的服务器端验证系统，但我正在寻找一些反馈以确保我涵盖了所有角度。以下是我目前正在做的事情的简要概述:

• 确保输入不为空或太长

• 转义查询字符串以防止 SQL 注入(inject)

• 使用正则表达式拒绝无效字符(这取决于提交的内容)

• 对某些 html 标记进行编码，例如 <script>(所有标记在存储在数据库中时都经过编码，有些在查询以在页面中呈现时进行解码)

有什么我想念的吗？欢迎使用代码示例或正则表达式。

Answer 1

您不需要“转义”查询字符串来防止 SQL 注入(inject) - 您应该使用准备好的语句。

理想情况下，您的输入过滤将在任何其他处理之前发生，因此您知道它将始终被使用。因为否则你只需要错过一个地方就容易出现问题。

不要忘记对输出的 HTML 实体进行编码 - 以防止 XSS 攻击。