php - 如何防止站点遭受 SQL 注入(inject)

Question

我打算使用 PHP 和 MYSQL 以及 MVC 架构从头开始创建一个站点。但根据客户要求，站点必须防止SQL INJECTION和CODE INJECTION。

我需要做什么必要的步骤。

或

启动站点的最佳框架是防止 SQL 注入(inject)和代码注入(inject)。

我问这个并不是为了在牢记的情况下发起讨论。我只是想知道哪个更好，以便我可以从专业人士的指导开始。

谢谢我提前...

Answer 1

到目前为止，防止 SQL 注入(inject)最可靠的方法是使用 mysqli完全参数化查询，而不是手动构建 SQL 语句。

它比 mysql_real_escape_string() 好得多，因为意外忘记使用它的风险更低。

为防止服务器端代码注入(inject)，在任何情况下都不要使用 eval()

为防止 Javascript 注入(inject)，请使用 strip_tags() 处理所有用户生成的内容在显示它或将其存储在数据库中之前。