php防止sql注入的函數介紹

具體用法

addslashes防止SQL注入

雖然國內很多PHP程式員仍在依靠addslashes防止SQL注入，還是建議大家加強中文防止SQL注入的檢查。addslashes的問題在 於駭客 可以用0xbf27來代替單引號，而addslashes只是將0xbf27修改為0xbf5c27，成為一個有效多位元組字元，其中的0xbf5c仍會 被看作是單引號，所以addslashes無法成功攔截。
當然addslashes也不是毫無用處，它是用於單位元組字串的處理，多位元組字元還是用mysql_real_escape_string吧。
另外對於php手冊中get_magic_quotes_gpc的

舉例：

代碼如下

複製代碼

<?php           function post_check($post)         {         if (!get_magic_quotes_gpc()) // 判斷magic_quotes_gpc是否為開啟         {         $post = addslashes($post); // 進行magic_quotes_gpc沒有開啟的情況對提交資料的過濾         }         $post = str_replace("_", "_", $post); // 把 '_'過濾掉         $post = str_replace("%", "%", $post); // 把' % '過濾掉         $post = nl2br($post); // 斷行符號轉換         $post= htmlspecialchars($post); // html標記轉換             return $post;         }         ?> 或  <?php               function inject_check($sql_str)         {         return eregi('select|insert|update|delete|'|         function verify_id($id=null)         {         if (!$id) { exit('沒有提交參數！'); } // 是否為空白判斷         elseif (inject_check($id)) { exit('提交的參數非法！'); } // 注射判斷         elseif (!is_numeric($id)) { exit('提交的參數非法！'); } // 數字判斷         $id = intval($id); // 整型化              return $id;         }         ?>

string mysql_real_escape_string ( string $unescaped_string [, resource $link_identifier ] )
本函數將 unescaped_string 中的特殊字元轉義，並計及串連的當前字元集，因此可以安全用於 mysql_query()。

Note: mysql_real_escape_string() 並不轉義 % 和 _。

mysql_real_escape_string

Example#1 mysql_real_escape_string() 例子

代碼如下	複製代碼
<?php $item  =  "Zak's and Derick's Laptop" ; $escaped_item  =  mysql_real_escape_string ( $item ); printf  ( "Escaped string: %sn" ,  $escaped_item ); ?> 以上例子將產生如下輸出： Escaped string: Zak's and Derick's Laptop

mysql_escape_string

本函數將 unescaped_string 轉義，使之可以安全用於 mysql_query()。

注: mysql_escape_string() 並不轉義 % 和 _。
本函數和 mysql_real_escape_string() 完全一樣，除了 mysql_real_escape_string() 接受的是一個串連控制代碼並根據當前字元集轉移字串之外。mysql_escape_string() 並不接受串連參數，也不管當前字元集設定。

例子 1. mysql_escape_string() 例子

代碼如下	複製代碼
<?php $item = "Zak's Laptop"; $escaped_item = mysql_escape_string($item); printf ("Escaped string: %sn", $escaped_item); ?> 輸出： Escaped string: Zak's Laptop

mysql_real_escape_string和mysql_escape_string這2個函數的區別：
mysql_real_escape_string 必須在(PHP 4 >= 4.3.0, PHP 5)的情況下才能使用。否則只能用 mysql_escape_string ，兩者的區別是：mysql_real_escape_string 考慮到串連的當前字元集，而mysql_escape_string 不考慮。

我們可以利用判斷來綜合處理

 

代碼如下	複製代碼
function cleanuserinput($dirty){  if (get_magic_quotes_gpc()) {   $clean = mysql_real_escape_string(stripslashes($dirty));   }else{   $clean = mysql_real_escape_string($dirty);   }  return $clean; }

總結一下：

* addslashes() 是強行加；
* mysql_real_escape_string() 會判斷字元集，但是對PHP版本有要求；
* mysql_escape_string不考慮串連的當前字元集。