什么是安全方便地清理用户输入和输出的真正方法

Question

安全应该始终是首先考虑的事情,对吧？我认为这个问题非常重要,以前有人应该问过,但我在搜索结果中找不到令人满意的答案.

我需要将用户的文章内容存储在数据库中并安全地输出.但是有很多方法可以做到这一点.我能做到这一点使用filter_var(),strip_tags(),mysql_real_escape_string(),stripslashes()...等等.我不能选择一个使用,我无法确认是否足够安全使用其中一个.

消毒输入和输出的最佳做法是什么？

Answer 1

简单:不要过滤输入.逃生输出.

• 当您使用mysql扩展在MySQL查询中添加内容时,请使用mysql_real_escape_string.(更好的是,切换到PDO并使用预准备语句.)
• 当您在HTML页面中打印某些内容时,请使用htmlspecialchars.
• 在shell命令中输入内容时,请使用escapeshellcmd/ escapeshellarg.
• 对于网址,请使用 urlencode

也看到这个答案:PHP转义输入变量