php - 这是一个安全/强大的输入清理功能吗？

Question

这是我最近从一本书中学到的 sanitizer 功能 - Sams Teach Yourself Ajax, JavaScript, and PHP All in One .

我一直在自己的 PHP 网站上使用它。实际使用安全吗？

function sanitizestring($var)
{
  $var = strip_tags($var);
  $var = htmlentities($var);
  $var = stripslashes($var);
  return mysql_real_escape_string($var);
}

Answer 1

我会说这太笼统了。它可能在很多用途中都是安全的，但它通常会给琴弦带来不必要的副作用。不是每个字符串都应该像那样转义。

• mysql_real_escape_string() 只能在 SQL 查询中使用。更好的是，将参数与 PDO 绑定(bind)。
• 为什么要在将实体插入数据库之前覆盖剥离标签并对实体进行编码？也许在出去的路上做。
• 对于 XSS 预防，htmlspecialchars() 更适合您。给它字符集作为参数。

所以我会使用 mysql_real_escape_string() 进行查询，使用 htmlspecialchars() 来回显用户提交的字符串。还有很多要知道的。做一些further reading .