Php 如何在我的函数中防止XSS攻击？
我正在为我的Php 如何在我的函数中防止XSS攻击？,php,sql-injection,xss,Php,Sql Injection,Xss,我正在为我的$\u POST输入创建一个函数，以在将值添加到数据库之前防止SQL注入。我在登录/注册以及用户需要发布文章时使用它。据我所知，这无法从XSS保护它 我应该在输出数据或编辑数据时创建不同的函数吗 多谢各位 function clean($str) { $str = @trim($str); if(get_magic_quotes_gpc()) { $str = stripslashes($str); } return mysql_rea
$\u POSTfunction clean($str) {
$str = @trim($str);
if(get_magic_quotes_gpc()) {
$str = stripslashes($str);
}
return mysql_real_escape_string($str);
}
我使用以下方法，可以很好地防止注射：
function clean($str) {
$value = mysql_escape_string(stripslashes(htmlspecialchars($str)));
return $value;
}
我使用以下方法，可以很好地防止注射：
function clean($str) {
$value = mysql_escape_string(stripslashes(htmlspecialchars($str)));
return $value;
}
您先讨论XSS，然后讨论SQL注入 SQL 使用
mysql\u real\u escape\u string（）magic\u quotesfunction sqlEscape($str) {
if (get_magic_quotes_gpc()) {
$str = stripslashes($str);
}
return mysql_real_escape_string($str);
}
trim（）trim（）使用
htmlspecialchars（$str，entu QUOTES）mysql\u real\u escape\u string（）magic\u quotesfunction sqlEscape($str) {
if (get_magic_quotes_gpc()) {
$str = stripslashes($str);
}
return mysql_real_escape_string($str);
}
trim（）trim（）使用
htmlspecialchars（$str，entu QUOTES）此外，正如Quamis所说，您可能应该查看PDO或其他一些DBAL，它们允许您使用准备好的语句，而不是手动转义语句。您不应该将值作为编码的HTML保存到数据库中。在输出它们时，而不是在保存它们时这样做（保存编码的HTML会使在其中搜索变得更困难，使它们的大小更大，使它们更难以HTML以外的格式使用，通常是错误的-您的数据库应该存储实际文本，而不是以特定方式显示的格式化文本）
此外，正如Quamis所说，您可能应该看看PDO或其他一些DBAL，它们允许您使用准备好的语句，而不是手动转义。mysql\u real\u escape\u string在mysql db中存储时提供保护。不会删除html和js。striptags、advanced preg_replace pattern和/或htmlspecialchars应该会有所帮助。看看这个：输入时使用可怕的分号-
htmlspecialcharshtmlspecialcharshtmlspecialcharshtmlspecialcharshtmlspecialcharshtmlspecialchars.htaccessphp\u标志来禁用它。您这样做的唯一原因是支持与PHP共享主机。谢谢您。。。你为什么离开魔术师学院？就像他们说的那样没有必要吗？magic_quotes正在慢慢消亡，并且从5.3开始就被弃用了。我个人在编码时不再考虑它们（但是我也不使用共享主机，所以我完全控制了配置）。我会在.htaccess
中设置一个php\u标志来禁用它。采用这种方式的唯一原因是支持使用PHP的共享托管严格来说，它们实际上不会转义字符串，因为它们实际上不会使用它们构建原始SQL查询。带有占位符的查询将按原样发送到数据库，值将单独发送。有了准备好的陈述，就没有必要逃避任何事情。是的，你是对的。我正在使用和，对于不支持的数据库和驱动程序，它试图自己进行转义。。。从程序员的角度来看，最终结果基本相同严格地说，它们实际上并没有转义字符串，因为它们实际上并没有用它们构建原始SQL查询。带有占位符的查询将按原样发送到数据库，值将单独发送。W