清理php中的输入数据_Php_Regex_Mysqli

清理php中的输入数据

php regex

清理php中的输入数据,php,regex,mysqli,Php,Regex,Mysqli,我在我的网站上有一个联系表格，访问者可以在这里与我联系。它只有3个字段：姓名、电话号码和信息这是我的函数，用于清理将写入数据库的输入数据。我在stackoverflow检查了这个问题和一些问题，得出了这个解决方案。这是清理数据的安全方法吗？功能的顺序是否正确？顺序真的重要吗 spl_autoload_register(function ($class) { include '../classes/' . $class . '.class.php'; }); /* bej

我在我的网站上有一个联系表格，访问者可以在这里与我联系。它只有3个字段：姓名、电话号码和信息

这是我的函数，用于清理将写入数据库的输入数据。我在stackoverflow检查了这个问题和一些问题，得出了这个解决方案。这是清理数据的安全方法吗？功能的顺序是否正确？顺序真的重要吗

spl_autoload_register(function ($class) {
    include '../classes/' . $class . '.class.php';
});

/*
    beje qe nqs ekziston ip bej update vtm time dhe ++$count te ajo ip;
*/

$db = DB::get_instance();   

function sanatize($input) {
    $db = DB::get_instance();
    //mysqli real escape string for all vars.
    //preg_replace for whitespaces, tabs, new lines.
    //strip html tags.
    //convert html tags.
    //strip slashes.
    //htmlentities: htmlentities — Convert all applicable characters to HTML entities.
    //nuk duhet sepse kemi strip tags.

    //trim string
    $trimed_string = trim($input);
    //filter string using php FILTER_SANITIZE_STRING filter.
    $filtered_string = filter_var($trimed_string, FILTER_SANITIZE_STRING);
    //remove slashes
    $no_slash_string = stripslashes($filtered_string);
    //convert special characters to HTML entities
    $conv_string = htmlspecialchars($no_slash_string);
    //strip html tags
    $stripped_tags_string = strip_tags($conv_string);
    //replace whitespaces
    $filtered_string = preg_replace('#[\s]+#', ' ', $stripped_tags_string);
    $safe_string = $mysqli_escaped_string = $db->mysqli->real_escape_string($filtered_string);

    return $safe_string;
}

//send message
if ($_SERVER["REQUEST_METHOD"] == "POST") {
    if(isset($_POST["name"]) && isset($_POST["tel"]) && isset($_POST["message"])) {

        $name = sanatize($_POST["name"]);
        $tel = intval(sanatize($_POST["tel"]));

        //sepse intval ja heq zeron.
        $message = trim(sanatize($_POST["message"]));
        $time = time();

        //name validation.      
        //only letter and spaces.
        if(!preg_match('/^[a-zA-Z\s]+$/', $name)) {
            echo "name should contain only letters.";
        } else if(strlen($_POST["name"]) < 3) {
            echo "name should be three chars min.";
        } else if(!preg_match('/^[1-9][0-9]*$/', $tel)) {
            echo "your phone number should contain only numbers.";
        } else if(strlen($tel) != 9) {
            echo "your phone number must be 10 digits.";
        } else if(in_array(substr($tel, 0, 3), array(066, 067, 068, 069))) {
            echo "your phone number must begin with 066, 067, 068 or 069.";
        } else if(strlen($message) == 0) {
            echo "message should be 10 letters min.";
        } else {
            //insert into db.
            $query = "insert into `messages` (name, tel, message, time) VALUES ('$name', '$tel', '$message', '$time')";
            $db->mysqli->query($query);
            echo "sent";
        }
    }
}

spl\u自动加载\u寄存器（函数（$class）{
包括“../classes/”.$class..class.php”；
});
/*
beje qe nqs ekziston ip bej更新vtm时间dhe++$count te ajo ip；
*/
$db=db:：get_instance（）；
函数sanatize（$input）{
$db=db:：get_instance（）；
//所有变量的mysqli实际转义字符串。
//preg_替换空白、制表符和新行。
//剥离html标记。
//转换html标记。
//条状斜线。
//htmlentities:htmlentities-将所有适用的字符转换为HTML实体。
//nuk duhet sepse kemi条纹标签。
//修剪线
$trimed_string=trim（$input）；
//使用php过滤器过滤字符串。
$filtered\u string=filter\u var（$trimmed\u string，filter\u SANITIZE\u string）；
//删除斜杠
$no\u slash\u string=stripslashes（$filtered\u string）；
//将特殊字符转换为HTML实体
$conv_string=htmlspecialchars（$no_slash_string）；
//剥离html标记
$stripped_tags_string=strip_tags（$conv_string）；
//替换空白
$filtered_string=preg_replace（'.[\s]+#'，'.$stripped_tags_string）；
$safe\u string=$mysqli\u转义\u string=$db->mysqli->real\u转义\u string（$filtered\u string）；
返回$safe_字符串；
}
//发送消息
如果（$\服务器[“请求\方法”]=“发布”）{
如果（isset（$_POST[“name”]）和&isset（$_POST[“tel”]）和&isset（$_POST[“message”]））{
$name=sanatize（$_POST[“name”]）；
$tel=intval（sanatize（$_POST[“tel”]）；
//我想我会的。
$message=trim（sanatize（$_POST[“message”]）；
$time=time（）；
//名称验证。
//只有字母和空格。
如果（！preg_match（'/^[a-zA-Z\s]+$/'，$name））{
echo“名称应仅包含字母。”；
}else if（strlen（$_POST[“name”]）<3）{
echo“名称至少应为三个字符”；
}如果（！preg_match（'/^[1-9][0-9]*$/'，$tel））匹配，则为else{
回显“您的电话号码应仅包含号码。”；
}否则，如果（斯特伦（$tel）！=9）{
echo“您的电话号码必须是10位数字。”；
}else if（在数组（substr（$tel，0，3），数组（066，067，068，069））中）{
echo“您的电话号码必须以066、067、068或069开头。”；
}else if（strlen（$message）==0）{
回声“信息应至少10个字母”；
}否则{
//插入数据库。
$query=“插入到`消息'（名称、电话、消息、时间）值（'$name'，'$tel'，'$message'，'$time'）”；
$db->mysqli->query（$query）；
回音“已发送”；
}
}
}