php - 在发送到 MySQL 数据库之前清理外部 XML 数据

Question

我正在使用许多 XML 提要来检索数据(从外部源)。我将检索数据，然后将其发送到我自己的 MySQL 数据库，以便我可以按照自己的意愿操作它。

我只是希望就这个过程的最佳实践提供一些建议。我希望使其尽可能自动化，但我对将未经验证的 XML 数据从外部源直接发送到我自己的数据库持谨慎态度。

我将实现一些标准验证来转义字符串等，但是我应该在提交到我自己的数据库之前(自动)“清理”每条数据吗？

在每条数据进入我的数据库之前，我是否应该根据其自己的规则集对其进行验证？

我希望这已经足够清楚了。如果可能的话，我很想听听一些意见。

Answer 1

您应该担心 2 件事:1 sql 注入(inject) 2 跨站点脚本。

第一个很简单，只需使用准备好的语句 mysqli 或 PDO。

对于跨站点脚本编写，您可以选择在将其放入数据库之前或检索它时清理它。就我个人而言，我喜欢做第二个。只需在回显某些内容之前使用函数 htmlspecialchars() 就可以安全了。