php - 将变量转换为字符串

Question

我正在登录，并将用于注册，并允许在电子邮件和密码中使用符号和特殊字符。我知道这对注入(inject)的黑客构成了严重威胁。我的问题是:如何将字段(例如“电子邮件”、“密码”)的输入转换为字符串，并且不允许服务器将它们作为代码和命令进行处理。

我真的不知道从哪里开始，但尝试过mysqli_escape_string；但是，您很可能知道，它非常薄且已弃用。我不介意做一点研究，我非常感谢能提供一些信息来开始!

Answer 1

如果您真的不知道从哪里开始，那也不是坏事!但是，我建议不要尝试创建自己的登录/注册系统，除非您确实知道该怎么做。特别是如果您关心安全性。这是一件非常容易搞砸的事情，即使对于经验丰富的程序员也是如此。我将第一个承认，我花了很多时间在 PHP 中滚动我自己的登录/身份验证模块，并且还花了很多时间继承其他人实现他们自己的方法的代码，大多数时候都是不正确的。

我建议学习网络框架。我最喜欢的 PHP Web 框架是 Laravel , 和 Code Igniter ，Laravel 是我的最爱。您会发现您在这里也有一个学习曲线，但是您会发现对正确和安全地实现用户身份验证的更多支持。例如:http://laravel.com/docs/4.2/security

借助框架，您还可以获得许多辅助方法，使数据库访问变得有趣、简单和安全。查看examples here !如果你愿意，你总是可以使用原始 sql!但对于你的日常 CRUD 应用程序，没有必要!

如果你仍然绝对坚持自己做，尽管我最后一次警告你不要这样做。我建议使用 PDO或 MySQLi准备好的语句(我更喜欢 PDO)。

我的猜测是该应用程序不会太远，因为您仍在考虑如何构建登录/注册，因此您可能不会“卡住”使用原始 php 并自行完成。 :)