簡易防止SQL Injection的方法

f22121299

1. $filter = array("<",">","(",")","[","]","=","+","-","_","`","~","!","@","#","$","%","^","&","*","?","/","|","'");
   
2. $user = $_POST["user"];
   
3. $user = trim($user);
   
4. $user = str_replace($filter,"",$user);

複製代碼

*程式解釋*
第1行: 將要過濾掉的字元,加入到陣列裡面
第2行: 傳遞user欄位的資料,並定義成$user
第3行: 將$user格式化為純文字
第4行: 將$user中,含有第1行字元的取代成空值


小弟第一次PO文,請各位大大包涵 ...

瀏覽完整內容，請先 註冊 或 登入會員

shsing1

你的方法不好，因為我真的要打那些字，可是都被你過濾掉了，這樣會讓使用者覺得很奇怪，所以最好是像這樣的方法去過濾才對。
function addslashes_deep($value)
{
    if (empty($value))
    {
        return $value;
    }
    else
    {
        return is_array($value) ? array_map('addslashes_deep', $value) : addslashes($value);
...

瀏覽完整內容，請先 註冊 或 登入會員

yyyyman

你的方法不好，因為我真的要打那些字，可是都被你過濾掉了，這樣會讓使用者覺得很奇怪，所以最好是像這樣的方法去過濾才對。
function addslashes_deep($value)
{
    if (empty($value))
    {
        return ...
shsing1 發表於 2009-2-24 04:27 PM

下載: 訪客無法瀏覽下載點，請先 註冊 或 登入會員

...

瀏覽完整內容，請先 註冊 或 登入會員

shsing1

下載: 訪客無法瀏覽下載點，請先 註冊 或 登入會員

yyyyman
當然是server端丫！php不可以會在client端作用，簡單來說，client端只會收到php運算完後的畫面，我想任何網頁語言都是這樣。

yyyyman

對齁!看我真是夠蠢了,連這都不知道.

twbestama

會不會太麻煩了??
php.ini的magic_quote打開就好了

呃 magic_quote 打開 麻煩會更大喔....
要擋的東西會更多  像是 \會變成\\ 但是如果 \\\ 會變成?

SQL Injection 是目前蠻大的問題，謝謝大大地分享

sdcomputer

我提供我的方法給你參考一下

1. function sanitize($arr){
   
2.         if(is_array($arr)){
   
3.                 return array_map('sanitize',$arr);
   
4.         }
   
5.         return str_replace("\0","",$arr);
   
6. }
   
7. $ret = addslashes(htmlspecialchars(sanitize($_POST[$varname]), ENT_QUOTES));

複製代碼

當然，這是我在用的防護Function中的其中一段
參考看看^^

p.s.htmlspecialchars可以拿掉~...

瀏覽完整內容，請先 註冊 或 登入會員

robindai

這些解決方式，感謝各位分享，方式很多，適合自己及了解最重要。

阿德Sky

1. function addslashes_deep($value)
   
2. {
   
3.     if (empty($value))
   
4.     {
   
5.         return $value;
   
6.     }
   
7.     else
   
8.     {
   
9.         return is_array($value) ? array_map('addslashes_deep', $value) : addslashes($value);
   
10.     }
    
11. }

複製代碼

這個方法還是有點問題
例如說big5的衝碼字 許功蓋等字
有可能這樣SQL就這樣掛了...

瀏覽完整內容，請先 註冊 或 登入會員

jim28791

同意shsing1大
不然輸入個EMAIL也有問題

補充建議：
1.可以使用addslashes($str);過瀘。
2.sprintf()過瀘sql

還有mysql_real_escape_string()可以搭配使用

gemini21

using mysql_real_escape