PHP+MYsql新安全实践

Question

我在每次提交时过滤来自用户的输入，或者我有创建函数来操作获取/发布值并在每次提交表单时调用它。

但现在我在主包含文件中保留了以下功能:

foreach ($_POST as $key => $value) {
    $_POST[$key] = mysql_real_escape_string(trim($value));
}

foreach ($_GET as $key => $value) {
    $_GET[$key] = mysql_real_escape_string(trim($value));
}

它运行良好，但是对每一个 post/get 都这样做有什么缺点吗？附言嗯，除了脚本的性能。

Answer 1

1. 在验证之后验证用户输入而不是先转义在插入数据库之前，你可以逃脱。
2. 回答你的问题:正确的做法是使用函数并将这些函数放在一个单独的文件中，并包括调用函数之前的那个文件..你的第一个方法也很好但如果表单及其字段数量很大，那么脚本将很乱，因此其他开发人员很难维护使用包含过滤函数的文件的第二种方法是无论如何都是个好主意....