PHP $_GET 安全性、$_POST 安全性最佳实践

Question

这是一个很好的主题，但我想在几种不同的情况下对使用来自用户变量的数据的方法进行一些确认。

1. 该变量从不在数据库中使用，从不存储，仅在用户屏幕上显示。使用哪个函数来确保没有 html 或 javascript 可以搞砸？

2. 该变量被引入数据库，并在 SQL 查询中使用。

3. 变量两者兼而有之。

目前我是xss_clean，和strip_tags。我一直这样做，只是通过自动驾驶仪。有没有更好的技术？如果有相同的问题，请见谅。我有点假设有，虽然我找不到像这样彻底的。

干杯。

Answer 1

1. 在输出时使用适当的函数，在 HTML 上下文中，这是 htmlspecialchars
2. 使用准备好的语句
3. 请参阅 1. 和 2. – 取决于您是在显示变量还是在查询中使用它。