防SQL注入PHP过滤html字符串详解

名站导航为爱好php程序的朋友们提供php相关的教程知识。

防SQL注入PhP程序过滤html字符串详解

我们在编程的时候很多时候都考虑到了与用户的交互性，如用户取得良好交互的途径就是用户反馈信息。那么用户就要像你的网站等提交他们的意见或者是看法等。那么怎样来过滤用户的反馈信息就变得非常重要了。因为我们要考虑可能存在恶意的用户SQL注入。

这里我们来使用PhP程序过滤掉用户输入的hTML具体代码如下。实践写具体代码如下前我们先来了解一个PhP程序函数。get_magic_quotes_gpc() 该PhP程序函数返回的是一个布尔值。是取得当前magic_quotes_gpc 的设定值。0表示关闭，1表示开启。先来详细了解下这个PhP程序函数。

在php的配置文件中，有个布尔值的设置，就是magic_quotes_runtime,当它打开时，php的大部分函数自动的给从外部引入的(包括数据库或者文件)数据中的溢出字符加上反斜线。当然如果重复给溢出字符加反斜线，那么字符串中就会有多个反斜线，所以这时就要用set_magic_quotes_runtime()与get_magic_quotes_runtime()设置和检测php.ini文件中magic_quotes_runtime状态。为了使自己的程序不管服务器是什么设置都能正常执行。可以在程序开始用get_magic_quotes_runtime检测该设置的状态决定是否要手工处理，或者在开始（或不需要自动转义的时候）用set_magic_quotes_runtime(0)关掉该设置。 magic_quotes_gpc设置是否自动为GPC(get,post,cookie)传来的数据中的\'\"\\加上反斜线。可以用get_magic_quotes_gpc()检测系统设置。如果没有打开这项设置，可以使用addslashes()函数添加，它的功能就是给数据库查询语句等的需要在某些字符前加上了反斜线。www.mzdh.net 这些字符是单引号（\'）、双引号（\"）、反斜线（\\）与 NUL（NULL 字符）。

一般用法如下;

if(!get_magic_quotes_gpc())

{

addslashes($prot);

}

了解了get_magic_quotes_gpc() 这个函数后我们再来正式编写我们的PhP程序过滤html字符串具体代码如下。具体代码如下如下：

//php 批量过滤post,get敏感数据

if (get_magic_quotes_gpc()) {

$_GET = stripslashes_array($_GET);

$_POST = stripslashes_array($_POST);

}

function stripslashes_array(&$array) {

while(list($key,$var) = each($array)) {

if ($key != 'argc' && $key != 'argv' && (strtoupper($key) != $key || ''.intval($key) == "$key")) {

if (is_string($var)) {

$array[$key] = stripslashes($var);

}

if (is_array($var)) {

$array[$key] = stripslashes_array($var);

}

return $array;

}

//--------------------------

// 替换hTML尾标签,为过滤服务

//--------------------------

function lib_replace_end_tag($str)

{

if (empty($str)) return false;

$str = htmlspecialchars($str);

$str = str_replace( '/', "", $str);

$str = str_replace("\\", "", $str);

$str = str_replace("&gt", "", $str);

$str = str_replace("&lt", "", $str);

$str = str_replace("<SCRIPT>", "", $str);

$str = str_replace("</SCRIPT>", "", $str);

$str = str_replace("<script>", "", $str);

$str = str_replace("</script>", "", $str);

$str=str_replace("select","select",$str);

$str=str_replace("join","join",$str);

$str=str_replace("union","union",$str);

$str=str_replace("where","where",$str);

$str=str_replace("insert","insert",$str);

$str=str_replace("delete","delete",$str);

$str=str_replace("update","update",$str);

$str=str_replace("like","like",$str);

$str=str_replace("drop","drop",$str);

$str=str_replace("create","create",$str);

$str=str_replace("modify","modify",$str);

$str=str_replace("rename","rename",$str);

$str=str_replace("alter","alter",$str);

$str=str_replace("cas","cast",$str);

$str=str_replace("&","&",$str);

$str=str_replace(">",">",$str);

$str=str_replace("<","<",$str);

$str=str_replace(" ",chr(32),$str);

$str=str_replace(" ",chr(9),$str);

$str=str_replace("&",chr(34),$str);

$str=str_replace("'",chr(39),$str);

$str=str_replace("<br />",chr(13),$str);

$str=str_replace("''","'",$str);

$str=str_replace("css","'",$str);

$str=str_replace("CSS","'",$str);

return $str;

}

上面PhP程序具体代码如下判断了用户提交的数据是以get方式和post方式。考虑很全面了。再来看怎么用上面的具体代码如下那就很简单啦！简单写下

引用是直接这样：

$username = htmlspecialchars($_POST['username']);

或者

$username = htmlspecialchars($_GET['username']);

呵呵，上面的这个PhP程序具体代码如下考虑非常全面，大家可以在项目的过程中单独放在一个文件里，在用的页面内加载过来就OK啦！

名站网址导航

PhP程序类使用php生成图片缩略图类
对图像的处理PhP程序做到了很好的支持，包括使用PhP程序画出图像、对已有的图像进行处理等。这里我向大家推荐一个PhP程序自定义类，对图像处理的类，生成缩略图的php类。

好了关于php程序的知识就说到这里希望可以帮助需要的朋友。,

防SQL注入PHP过滤html字符串详解

宝贝市场2023-02-08

夺宝助手2023-02-08

查诚信2023-02-08

车价天天报2023-02-08

考勤助理小程序2023-02-08

汽车报价大全查询2023-02-08