php防止sql注入的函數介紹

 　　具體用法

　　addslashes防止SQL注入

　　雖然國內很多PHP程式員仍在依靠addslashes防止SQL注入，還是建議大家加強中文防止SQL注入的檢查。addslashes的問題在 於駭客 可以用0xbf27來代替單引號，而addslashes只是將0xbf27修改為0xbf5c27，成為一個有效多位元組字元，其中的0xbf5c仍會 被看作是單引號，所以addslashes無法成功攔截。

　　當然addslashes也不是毫無用處，它是用於單位元組字串的處理，多位元組字元還是用mysql_real_escape_string吧。

　　另外對於php手冊中get_magic_quotes_gpc的

　　舉例：

代碼如下

<?php function post_check($post) { if (!get_magic_quotes_gpc()) // 判斷magic_quotes_gpc是否為開啟 { $post = addslashes($post); // 進行magic_quotes_gpc沒有開啟的情況對提交資料的過濾 } $post = str_replace("_", "_", $post); // 把 '_'過濾掉 $post = str_replace("%", "%", $post); // 把' % '過濾掉 $post = nl2br($post); // 斷行符號轉換 $post= htmlspecialchars($post); // html標記轉換 return $post; } ?> 或 <?php function inject_check($sql_str) { return eregi('select|insert|update|delete|'| function verify_id($id=null) { if (!$id) { exit('沒有提交參數！'); } // 是否為空白判斷 elseif (inject_check($id)) { exit('提交的參數非法！'); } // 注射判斷 elseif (!is_numeric($id)) { exit('提交的參數非法！'); } // 數字判斷 $id = intval($id); // 整型化 return $id; } ?>

　　string mysql_real_escape_string ( string $unescaped_string [, resource $link_identifier ] )

　　本函數將 unescaped_string 中的特殊字元轉義，並計及串連的當前字元集，因此可以安全用於 mysql_query()。

　　Note: mysql_real_escape_string() 並不轉義 % 和 _。

　　mysql_real_escape_string

　　Example#1 mysql_real_escape_string() 例子

代碼如下
<?php $item = "Zak's and Derick's Laptop" ; $escaped_item = mysql_real_escape_string ( $item ); printf ( "Escaped string: %sn" , $escaped_item ); ?> 以上例子將產生如下輸出： Escaped string: Zak's and Derick's Laptop

　　mysql_escape_string

　　本函數將 unescaped_string 轉義，使之可以安全用於 mysql_query()。

　　注: mysql_escape_string() 並不轉義 % 和 _。

　　本函數和 mysql_real_escape_string() 完全一樣，除了 mysql_real_escape_string() 接受的是一個串連控制代碼並根據當前字元集轉移字串之外。mysql_escape_string() 並不接受串連參數，也不管當前字元集設定。

　　例子 1. mysql_escape_string() 例子

代碼如下
<?php $item = "Zak's Laptop"; $escaped_item = mysql_escape_string($item); printf ("Escaped string: %sn", $escaped_item); ?> 輸出： Escaped string: Zak's Laptop

　　mysql_real_escape_string和mysql_escape_string這2個函數的區別：

　　mysql_real_escape_string 必須在(PHP 4 >= 4.3.0, PHP 5)的情況下才能使用。否則只能用 mysql_escape_string ，兩者的區別是：mysql_real_escape_string 考慮到串連的當前字元集，而mysql_escape_string 不考慮。

　　我們可以利用判斷來綜合處理

代碼如下
function cleanuserinput($dirty){ if (get_magic_quotes_gpc()) { $clean = mysql_real_escape_string(stripslashes($dirty)); }else{ $clean = mysql_real_escape_string($dirty); } return $clean; }

　　總結一下：

　　* addslashes() 是強行加;

　　* mysql_real_escape_string() 會判斷字元集，但是對PHP版本有要求;

　　* mysql_escape_string不考慮串連的當前字元集。