这是我最近从-
Sams Teach Yourself Ajax,JavaScript,and PHP All in One学到的一本书中使用的消毒功能.
我一直在自己的PHP网站上使用它.对于现实世界的使用是否安全？
function sanitizestring($var)
{
$var = strip_tags($var);
$var = htmlentities($var);
$var = stripslashes($var);
return MysqL_real_escape_string($var);
}
我会说这太笼统了.对于很多用途来说它可能是安全的,但它通常会给字符串带来不必要的副作用.并非每个字符串都应该像那样进行转义.
原文链接：https://www.f2er.com/php/138825.html> MysqL_real_escape_string()只能在SQL查询中使用.更好的是,将params与PDO绑定.@H_502_10@>在插入数据库之前,为什么要覆盖条带标签和编码实体？也许在出路的时候做.@H_502_10@>对于XSS预防,htmlspecialchars()更像是你的朋友.将字符集作为参数赋予它.
所以我会使用MysqL_real_escape_string()进行查询,使用htmlspecialchars()来回显用户提交的字符串.还有很多要知道的.做一些further reading.
