高分求php表单过滤代码。

要防止sql注入，过滤表单输入固然重要，但还需要从其他方面一起入手

屏蔽用户输入特殊字符的实质是，禁止用户利用程序漏洞拼装出一些我们不想让用户执行的SQL

例如：

$sql = "SELECT * FROM table WHERE user='$_POST['user']' AND password='$_POST['pwd']'";

用户输入

$_POST['user'] = 'john';
$_POST['pwd'] = "' OR ''='";

要么实际执行的sql就是

SELECT * FROM table WHERE user='john' AND password='' OR ''=''

所以我们要对用户的输入做出处理，避免这种情况的发生

对于表单输入，必要的过滤是需要的，对于每一个输入可以写一个function来筛一下

例如：

$user_name = clean($_POST['user']);
function clean($v){
    if (get_magic_quotes_gpc()){
        $v = stripslashes($v);
    }
    //转义字符串中的特殊字符
    $v = mysql_real_escape_string($v);
    return $v;
}

至于内容中包含一些sql的关键字，其实不用太过紧张，但是在sql语句中必须处理

例如：

INSERT INTO table VALUES ('xxx', 'xxx', 'xxx')

要保证每个值都被单引号包起来

SELECT，UPDATE，DELETE中的WHERE条件也是如此，但凡以用户输入的部分作为参数的，都得用单引号括起来，这样就能有效防止sql注入

追问

我用这样的方法，直接将特殊字符斩杀~~~不知道这样做法妥不妥~~~

追答

可以的

但是例如别人只是输入一句"I come from China"的话，经过这个函数就变成"I come China"了

我们一般在做的时候都不会轻易地暴力剔除

至于具体要怎么做就看你的程序的需求了，如果你确定用户不会输入英文，你这么做就是可行的，否则就需要考虑解决方案

追问

用这么暴力的也是想到只允许用户输入中文的，因为网站的业务逻辑，英文字符很多不用考虑。码了那么多字，辛苦了~~~

温馨提示：答案为网友推荐，仅供参考

当前网址：https://verywind.cn/ee/x2eje3vvjyx7er7fyx.html