是否有一个catchall函数适用于清理SQL注入和XSS攻击的用户输入,同时仍允许某些类型的html标记？
今天早些时候,有人询问有关网络应用中输入验证策略的问题.
在撰写本文时,最重要的答案建议PHP只使用htmlspecialchars和mysql_real_escape_string.
我的问题是:这总是足够的吗？还有更多我们应该知道的吗？这些功能在哪里崩溃？
可能重复:
如何从"Bobby Tables"XKCD漫画中注入SQL？
https://stackoverflow.com/search?q=sql+injection
有人可以解释SQL注入吗？它是如何导致漏洞的？注入SQL的确切位置在哪里？