3 回答

TA貢獻(xiàn)1829條經(jīng)驗(yàn) 獲得超7個(gè)贊
僅僅做很多您不太了解的事情就不會(huì)對(duì)您有所幫助。您需要了解什么是注入攻擊,以及確切的方法和在何處應(yīng)執(zhí)行的操作。
要點(diǎn):
禁用魔術(shù)引號(hào)。它們是一個(gè)不足的解決方案,并且使事情變得混亂。
切勿直接在SQL中嵌入字符串。使用綁定參數(shù),或轉(zhuǎn)義(使用mysql_real_escape_string)。
stripslashes從數(shù)據(jù)庫(kù)中檢索數(shù)據(jù)時(shí),請(qǐng)不要轉(zhuǎn)義(例如)。
當(dāng)您將字符串嵌入html中時(shí)(例如,當(dāng)您使用時(shí)echo),您應(yīng)該默認(rèn)轉(zhuǎn)義該字符串(htmlentities與一起使用ENT_QUOTES)。
如果需要在html中嵌入html字符串,則必須考慮字符串的來源。如果不受信任,則應(yīng)通過過濾器對(duì)其進(jìn)行管道傳輸。strip_tags從理論上講,您應(yīng)該使用它,但是它有缺陷;請(qǐng)改用HtmlPurifier。
添加回答
舉報(bào)