php - 清理输入值 PHP 的函数

Question

我用这个:

function safeClean($n)
{
    $n = trim($n);

    if(get_magic_quotes_gpc())
    {
        $n = stripslashes($n);
    } 

    $n = mysql_escape_string($n);
    $n = htmlentities($n);

    return $n;
}

防止任何类型的 MySQL 注入(inject)或类似的东西。每当我用它像这样环绕 $_POST 时:

$username = safeClean($_POST['user']);
$password = md5(safeClean($_POST['password']));
$vpassword = md5(safeClean($_POST['verify']));
$email = safeClean($_POST['email']);

它甚至不起作用，但我已经附加了 functions.php 并且目录是正确的但根本不起作用，因为它只显示一个空白页面......如果我从每个 $_POST 中删除 safeClean()它有效。

为什么这根本不起作用？

Answer 1

在我看来，这种一般的清理方法并不是思考问题的最佳方式。一方面，参数化查询(使用 PDO 可能最方便)是处理 SQL 安全问题的更好方法。但是一般...

我知道开发人员的冲动是尝试减少您必须考虑的事情的数量。因此，很自然地，您想看看是否可以想出一个通用的清理功能，您可以将所有输入交给它，而不必再担心了。但是，输入是一个领域，如果您真的想要安全性，则需要具体考虑每条传入数据应该是什么以及它将在哪里结束。如果您在这里继续自动驾驶，您将在某个时候引入安全问题。