PHP Lang
  1. PHP Lang
  3. Является ли это безопасной / сильной функцией дезинфекции входа?
Intereting Posts
MySQL целочисленное поле возвращается как строка в PHP Могу ли я напрямую сериализоваться в файл с помощью рисковой библиотеки PHP? Как сделать текстовый DIFF с помощью PHP? Динамические запросы с PHP PDO Как передать информацию моему контроллеру на представление в PHP (без фреймворка)? Как подавать данные серии, которые имеют значения оси х и y в линейных диаграммах? Программно построение htpasswd Почему Firebug притворяется, что моя таблица стилей вызывает мой xmlrpc? CodeIgniter 3: номер ошибки 2014 Команды не синхронизированы; вы не можете запустить эту команду сейчас добавление шрифта в mPDF Таблица Pivot MySQL с динамическими столбцами NuSOAP: как изменить тип содержимого запроса? Memcache + Mysqli Не удалось получить mysqli_result MySQL – доступ запрещен для пользователя Чтение CSV в массив PHP

Является ли это безопасной / сильной функцией дезинфекции входа?

Это функция санитизации, используемая в книге, которую я недавно узнал из – Sams Teach Yourself Ajax, JavaScript и PHP All in One .

Я использую его на своем собственном сайте PHP. Безопасно ли это для использования в реальном мире? 

function sanitizestring($var) { $var = strip_tags($var); $var = htmlentities($var); $var = stripslashes($var); return mysql_real_escape_string($var); }

Solutions Collecting From Web of "Является ли это безопасной / сильной функцией дезинфекции входа?"

Я бы сказал, что это слишком общее. Он может быть безопасным для многих применений, но он часто дает нежелательные побочные эффекты для строк. Не каждая строка должна быть экранирована таким образом.

  • mysql_real_escape_string() следует использовать только в SQL-запросах. Еще лучше привяжите параметры с PDO.
  • Почему вы хотите обменивать стрипы и кодировать объекты перед вставкой в ​​базу данных? Может быть, сделай это по пути.
  • Для предотвращения XSS htmlspecialchars() больше относится к вашему другу. Дайте ему набор символов в качестве аргумента.

Поэтому я хотел бы использовать mysql_real_escape_string() для запросов и htmlspecialchars() для повторения переданных пользователем строк. Существует также гораздо больше информации. Сделайте некоторые дополнительные чтения .

Вы также можете рассмотреть фильтр-вход с теми фильтрами, которые применяются к этой области .