终极清洁/安全功能-解网

问：

我有很多用户输入和...目前我总是写..$_GET$_POSTmysql_real_escape_string($_GET['var'])

我想知道您是否可以立即创建一个保护、转义和清理 / 数组的函数，这样您就不必在每次使用用户输入等时都处理它。$_GET$_POST

我在想一个函数，例如，在它里面，它应该做，，，（我认为这只是为了让它干净和安全），然后返回.cleanMe($input)mysql_real_escape_stringhtmlspecialcharsstrip_tagsstripslashes$input

那么这可能吗？创建一个适用于所有人的函数和，所以你只需要这样做：$_GET$_POST

$_GET  = cleanMe($_GET);
$_POST = cleanMe($_POST);

所以在以后的代码中，当你使用例如或时，它们被保护、剥离等等？$_GET['blabla']$_POST['haha']

试了一下自己：

function cleanMe($input) {
   $input = mysql_real_escape_string($input);
   $input = htmlspecialchars($input, ENT_IGNORE, 'utf-8');
   $input = strip_tags($input);
   $input = stripslashes($input);
   return $input;
}

PHP 安全 XSS SQL注入

使用一次性主清理功能不是正确的解决方案。这就是魔术报价失败的原因。如果需要，可以转义（或使用更好的解决方案，例如准备好的语句）。否则，你会发现你在错误的时间逃跑，而且往往不止一次。所有这些功能都有非常不同的目的，并且有几个（例如和）本质上是逆向的。参见 [使用 PHP 清理用户输入的最佳方法是什么？（stackoverflow.com/questions/129677）了解更多信息。mysql_real_escape_stringstripslashes

4赞 rook 11/24/2010

哦，哇，cleanMe（）不会停止所有 xss，也不会做任何事情来停止 sqli，因为 .这是代码是痛苦的。stripslashes()

0赞 T.Todua 9/25/2014

可能的重复什么是最好的 PHP 输入清理功能？

答：

130赞 Pekka 11/19/2010 #1

通用卫生功能的想法是一个破碎的概念。

每种目的都有一种正确的卫生方法。不加选择地在字符串上运行它们通常会破坏它 - 转义一段用于 SQL 查询的 HTML 代码会破坏它在网页中使用，反之亦然。在使用数据之前，应立即进行卫生处理：

在运行数据库查询之前。正确的卫生方法取决于您使用的图书馆;它们列在如何防止 PHP 中的 SQL 注入？
htmlspecialchars()用于安全的 HTML 输出
preg_quote()用于正则表达式
escapeshellarg() / escapeshellcmd()用于外部命令
等等等等。

使用“一刀切”的卫生功能就像在植物上使用五种剧毒杀虫剂，根据定义，这些植物只能含有一种虫子 - 却发现你的植物被第六种杀虫剂侵染，而杀虫剂对这种杀虫剂不起作用。

始终使用正确的方法，最好在将数据传递给函数之前直接使用。除非需要，否则切勿混合使用方法。

如果您使用的是 apache 并且对服务器具有完全访问权限，我可以建议安装“mod_security”吗？！
它确实解决了我的大部分问题。但是，不要只依赖一两个解决方案，请始终编写安全的代码;)
更新找到这个 PHP IDS （http://php-ids.org/）;看起来很不错:)

class inputManager{
  static function toHTML($field){
    $data = filter_input(INPUT_GET, $field, FILTER_SANITIZE_SPECIAL_CHARS);
    return $data;
  }
  static function toSQL($field, $dbType = 'mysql'){
    $data = filter_input(INPUT_GET, $field);
    if($dbType == 'mysql'){
      return mysql_real_escape_string($data);
    }
  }
}

对于这种事情，如果你在代码中看到任何 _POST 美元、$GET 美元、_REQUEST 美元或 _COOKIE 美元，你就知道你必须改变它。如果有一天你必须改变你过滤输入的方式，只需改变你创建的类。

上一个：JSF 中的 CSRF、XSS 和 SQL 注入攻击防护

下一个：PreparedStatement 如何避免或防止 SQL 注入？

终极清洁/安全功能

The ultimate clean/secure function

评论

评论

评论