PHP $_GET 安全、$_POST 安全最佳实践

Question

这是一个涵盖面很广的主题，但我想在几种不同的情况下确认使用用户变量数据的方法。

1. 该变量从不在数据库中使用，从不存储，仅在屏幕上显示给用户。使用哪个函数来确保 html 或 javascript 不会搞砸？

2. 变量被取入数据库，用于SQL查询。

3. 变量同时执行这两个操作。

此刻我 xss_clean 和 strip_tags。我一直这样做，只是通过自动驾驶仪。有更好的技术吗？如果那里有相同的问题，我们深表歉意。我假设有，虽然我找不到像这样彻底的。

干杯。

Answer 1

1. 在输出时使用适当的函数，在 HTML 上下文中，这是 htmlspecialchars
2. 使用准备好的语句
3. 参见 1. 和 2. – 取决于您是显示变量还是在查询中使用变量。