php - 什么是最好的 PHP 输入清理功能？

Question

我正在尝试想出一个函数，我可以通过我的所有字符串进行 sanitizer 。这样从中出来的字符串对于数据库插入是安全的。但是有这么多过滤功能 在那里我不确定我应该使用/需要哪些。

请帮我填空:

function filterThis($string) {
    $string = mysql_real_escape_string($string);
    $string = htmlentities($string);
    etc...
    return $string;
}

Answer 1

正如您所提到的，您正在使用 SQL 清理，我建议您使用 PDO 和准备好的语句。这将极大地改善您的保护，但请进一步研究清理传递给您的 SQL 的任何用户输入。
要使用准备好的语句，请参见以下示例。你有 sql 吗？对于这些值，然后将它们与 3 个名为 firstname、lastname 和 email 的字符串 'sss' 绑定(bind) // prepare and bind $stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)"); $stmt->bind_param("sss", $firstname, $lastname, $email);