求一段防注入的代码

Question

大家分享下自己的防注入的代码,复制粘贴就行.
还有addslashes和mysql_escape_string的区别就是后者必须在连接数据之后使用而已吗?

Answer 1

mysql_escape_string就是一个函数，和链接不链接数据库没有关系的

Answer 2

是数字的就int掉   这样啥非法的都会变成0。
如果是网页编辑器的内容可以将标签转为实体符号入库。
使用 addslashes转义 单引号和双引号。更严谨点可以   将sql的关键字全过滤掉。

Answer 3

你Y不信,自己只开apache,不开mysql, 你Y试试看

Answer 4

楼主自己百度下，php函数的用法，自然就知道的。

Answer 5

我把MYSQL关闭了，照样可以使用，自己先试试看！！！

Answer 6

mysql_real_escape_string 这个方法才需要连数据库,在PHP5.4中建议用它了

Answer 7

1、addslashes将特殊字符转义
2、preg_replace将select\or\update\alter\etc.注意还有|和&[这两个字符其实可以htmlspecialchars搞掉]
3、如果使用int建议最好是is_numeric(intval)一下，还有建议将整数长度截取在安全范围内。
4、防止xss攻击，一定得htmlspecialchars一下。
=================================================
php的我就常规去测试，.net我一般最留意的是int长度和| &这两个字符，很多人忽略这三个东西，再加上服务器配置不严格，杠杠滴往外蹦源码。