php防止sql注入的函數介紹_PHP教程
推薦:怎么用php解析xml文件DOMElement DOMElement DOMDocument::createElement ( string $name [, string $value ] ) 創建節點元素 String $name:節點名 String $value:節點的值 8、 添加節點 DOMNode DOMNode::appendChild ( DOMNode $newnode ) 添加子節點 DOMNode $newnode:新節點 在dom操
具體用法
addslashes防止SQL注入
雖然國內很多PHP程序員仍在依靠addslashes防止SQL注入,還是建議大家加強中文防止SQL注入的檢查。addslashes的問題在 于黑客 可以用0xbf27來代替單引號,而addslashes只是將0xbf27修改為0xbf5c27,成為一個有效的多字節字符,其中的0xbf5c仍會 被看作是單引號,所以addslashes無法成功攔截。
當然addslashes也不是毫無用處,它是用于單字節字符串的處理,多字節字符還是用mysql_real_escape_string吧。
另外對于php手冊中get_magic_quotes_gpc的
舉例:
string mysql_real_escape_string ( string $unescaped_string [, resource $link_identifier ] )
本函數將 unescaped_string 中的特殊字符轉義,并計及連接的當前字符集,因此可以安全用于 mysql_query()。
Note: mysql_real_escape_string() 并不轉義 % 和 _。
mysql_real_escape_string
Example#1 mysql_real_escape_string() 例子
mysql_escape_string
本函數將 unescaped_string 轉義,使之可以安全用于 mysql_query()。
注: mysql_escape_string() 并不轉義 % 和 _。
本函數和 mysql_real_escape_string() 完全一樣,除了 mysql_real_escape_string() 接受的是一個連接句柄并根據當前字符集轉移字符串之外。mysql_escape_string() 并不接受連接參數,也不管當前字符集設定。
例子 1. mysql_escape_string() 例子
mysql_real_escape_string和mysql_escape_string這2個函數的區別:
mysql_real_escape_string 必須在(PHP 4 >= 4.3.0, PHP 5)的情況下才能使用。否則只能用 mysql_escape_string ,兩者的區別是:mysql_real_escape_string 考慮到連接的當前字符集,而mysql_escape_string 不考慮。
我們可以利用判斷來綜合處理
總結一下:
* addslashes() 是強行加;
* mysql_real_escape_string() 會判斷字符集,但是對PHP版本有要求;
* mysql_escape_string不考慮連接的當前字符集。
分享:PHP錯誤:Forbidden You don't have permission to access / on this server今天在測試一個php程序的時候,發現這個問題: Forbidden You don't have permission to access / on this server. 開始的時候我是用http://localhost/test.php進行的測試,沒有發現問題,后來要在內網測試一下就要用IP地址進行那個訪問了,如:http://10.10.50.195/tes
- 相關鏈接:
- 教程說明:
PHP教程-php防止sql注入的函數介紹
。