php - php 中的安全首选项、php 函数来清理输入

Question

我有以下函数可以清理用户或网址的输入:

   function SanitizeString($var)
   {
       $var=stripslashes($var);
       $var=htmlentities($var, ENT_QUOTES, 'UTF-8');
       $var=strip_tags($var);
       return $var;
   }

我不知道除了这个php函数之外是否还需要使用该函数:

mysql_real_escape_string()..

我也不知道我是否采取了所有预防措施来清理该输入

我也有剥离标签的问题..因为我使用的是tiny_MCE..并且不剥离它们很重要..

在将 html 字符送入数据库之前，如何将其状态作为 html 字符返回？

Answer 1

无论如何，先验地清理输入都是错误的。剥离标签与数据库有什么关系？从什么时候开始恶意脚本在数据库中运行？过度谨慎是一件好事，除非你这样做时没有逻辑。

仅根据“可疑”内容需要去往的位置进行清理。

数据库？然后对数据库进行转义，避免SQL注入(inject)。使用 mysql_real_escape_string() 或参数化查询，然后就可以了。

HTML 页面？清理你的 html 以避免 XSS 和其他讨厌的事情。使用 htmlentities() 或其他更复杂的解决方案，但请在输出之前执行此操作。

如果你在数据库中保存一个 html 页面，然后去掉所有标签(顺便说一句，strip_tags() 做得很糟糕，在 htmlentities() 之后调用它不是最好的事情)怎么办？如果您稍后需要返回 html 该怎么办？试想一下，使用<script>对数据库有什么危害？标签或恶意软件的链接？难道它们只有在打印在页面上时才有害吗？

要解码 htmlentities() 形式，只需使用.. html_entity_decode()