php - 清理密码的正确方法是什么？

Question

如何清理接收哈希+随机盐的字符串？

我可以删除空格、检查长度并使用 mysqli_real_escape_string，但这是否足够？ filter_var 确实很有用，但在这种情况下也无济于事，对吧？

Answer 1

如果您要将变量放入 SQL 查询中，那么您需要调用 mysqli_read_escape_string 或(甚至更好!)使用 prepared statements .

没有您需要做的其他 sanitizer 。但是，如果该值将来自自由形式的用户输入(例如，文本框而不是下拉菜单)，那么您可能还需要修剪空格并将其小写，以示对用户的礼貌(以纠正他们可能犯的意外错误) .这实际上取决于应用程序。