PHP安全過濾函數

在PHP中，有些很有用的函數開源非常方便的防止你的網站遭受各種攻擊，例如SQL注入攻擊，XSS（Cross Site Scripting：跨站指令碼）攻擊等。 1. mysql_real_escape_string()

這個函數在PHP中防止SQL注入攻擊時非常有用。這個函數會對一些例如單引號、雙引號、反斜線等特殊字元添加一個反斜線以確保在查詢這些資料之前，使用者提供的輸入是乾淨的。但要注意，你是在串連資料庫的前提下使用這個函數。

但是現在已經不推薦使用mysql_real_escape_string()了，所有新的應用應該使用像PDO一樣的函數庫執行資料庫操作，也就是說，我們可以使用現成的語句防止SQL注入攻擊。 2. addslashes()

這個函數的原理跟mysql_real_escape_string()相似。但是當在php.ini檔案中，“magic_quotes_gpc“的值是“on”的時候，就不要使用這個函數。magic_quotes_gpc 的預設值是on，對所有的 GET、POST 和 COOKIE 資料自動運行 addslashes()。不要對已經被 magic_quotes_gpc 轉義過的字串使用 addslashes()，因為這樣會導致雙層轉義。你可以使用get_magic_quotes_gpc()函數來確定它是否開啟。 3. htmlentities()

這個函數對於過濾使用者輸入的資料非常有用。它會將一些特殊字元轉換為HTML實體。例如，使用者輸入<時，就會被該函數轉化為HTML實體<（&lt），輸入>就被轉為實體&gt.(HTML實體對照表：http://www.w3school.com.cn/html/html_entities.asp)，可以防止XSS和SQL注入攻擊。 4. htmlspecialchars()

在HTML中，一些特定字元有特殊的含義，如果要保持字元原來的含義，就應該轉換為HTML實體。這個函數會返迴轉換後的字串，例如‘&’ (ampersand) 轉為’&amp‘（ps:請參照第三點中的實體對照錶鏈接）

附上此函數常見的轉換字元：

The translations performed are:

‘&’ (ampersand) becomes ‘&amp;’‘”‘ (double quote) becomes ‘&quot;’ when ENT_NOQUOTES is not set.“‘” (single quote) becomes ‘&#039;’ (or &apos;) only when ENT_QUOTES is set.‘<’ (less than) becomes ‘&lt;’‘>’ (greater than) becomes ‘&gt;’

5. strip_tags()

這個函數可以去除字串中所有的HTML，JavaScript和PHP標籤，當然你也可以通過設定該函數的第二個參數，讓一些特定的標籤出現。 6. md5()

從安全的角度來說，一些開發人員在資料庫中儲存簡單的密碼的行為並不值得推薦。md5()函數可以產生給定字串的32個字元的md5散列，而且這個過程無法復原，即你不能從md5()的結果得到原始字串。

現在這個函數並不被認為是安全的，因為開源的資料庫可以反向檢查一個散列值的明文。你可以在這裡找到一個MD5散列資料庫列表 7. sha1()

這個函數與md5()類似，但是它使用了不同的演算法來產生40個字元的SHA-1散列（md5產生的是32個字元的散列）。也不要把絕對安全寄託在這個函數上，否則會有意想不到的結果。 8. intval()

intval()函數是將變數轉成整數類型，你可以用這個函數讓你的PHP代碼更安全，特別是當你在解析id，年齡這樣的資料時。