PHP 和 PDO 防止 Javascript 注入(inject)

Question

我有一个使用 PDO 用 PHP 编写的网站。我正在使用 bindParam() 函数绑定(bind)到一个 sql 插入查询:

("insert into Table (id, date, data) VALUES (?, ?, ?)")

但我可以插入一个包含

的字符串

"<script>window.location="google.com"</script>"

如何防止这种情况？

谢谢!!!

Answer 1

PDO 不会阻止您这样做。您需要自己处理字符串:

1. 如果你不想<script>标签，使用 strip_tags
2. 如果您想要这些标签但不希望它们执行，请使用 htmlentities