例：
最初键入：让我们试试这个.
编辑时：让
现在,当我将它传递给服务器进行sql添加时,我使用以下函数来防止sql注入
function keepSafe($value) {
if (get_magic_quotes_gpc()) {
$value = stripslashes($value);
}
if (!is_numeric($value)) {
$value = "'" . MysqLi_real_escape_string($value) . "'";
}
return $value;
}
$Comments = str_replace("\n","<br />",$_POST['CustComments']);
$Comments = keepSafe($_POST['Comments']);
你可能使用这样的输入：
<input type='text' value='<?PHP echo $value;?>'/>
问题是,如果值有撇号,则会发生这种情况：
<input type='text' value='Let's play'/>
因此,由于变量中的撇号,值标签已结束.
要修复它,只需使用带有ENT_QUOTES的htmlspecialchars：
<?PHP $value = htmlspecialchars("Let's play",ENT_QUOTES); ?> <input type='text' value='<?PHP echo $value; ?>'/>
这样撇号就会被编码,并且可以在你的表单中编辑
关于sql注入：
只需使用mysqli’s prepared statements就可以了.为了使您远离XSS,请始终在HTML输出中使用htmlspecialchars用户输入.更好的方法是仅将输入过滤到您需要的内容,并仅将过滤后的输入保存到数据库中.
