php过滤特殊字符防止注入(分享几个安全处理函数)

发布日期： 2025-10-14 阅读量： 作者： admin

得，今天说说我之前弄那个PHP过滤特殊字符的事儿，也是踩了不少坑才搞明白点。

起因

最早的时候，就是做个小网站，有留言板功能。用户一提交，有时候页面就乱了，或者数据库报错。一看，好家伙，提交的内容里带了各种奇奇怪怪的符号，特别是单引号、双引号、尖括号这些。

第一次尝试：addslashes

一开始我也不懂，就网上搜，看到有个函数叫 addslashes()，说是能给引号什么的加上反斜杠，让它们变成普通字符。我想这简单，直接拿来用。

操作过程：

拿到用户提交的数据，比如 $_POST['message']。
直接用 $filtered_message = addslashes($_POST['message']);。
然后把 $filtered_message 存到数据库里。

刚开始好像还行，但后来发现有时候数据存进去还是有问题，或者显示出来的时候多了好多反斜杠。特别是有段时间服务器的 PHP 配置开了个叫 `magic_quotes_gpc` 的东西，它自动就给加了一遍反斜杠，我再用 addslashes()，得，双重转义，数据彻底没法看了。那时候还得上 `get_magic_quotes_gpc()` 先判断一下，烦得很。

第二次尝试：针对数据库的 mysql_real_escape_string

后来发现光加反斜杠不行，特别是往数据库里存的时候，容易被人搞 SQL 注入。就是用户提交的内容里构造恶意的 SQL 语句，比如查你管理员密码啥的。这时候又学到一个函数 mysql_real_escape_string()。

操作过程：

这个函数用之前，得先连上数据库。
拿到用户数据后，用 $safe_message = mysql_real_escape_string($_POST['message'], $db_connection);。注意，还得把数据库连接资源传进去。
这样处理过的字符串，再拼接到 SQL 语句里，就安全多了，不容易被注入攻击。

这个确实比 addslashes() 靠谱，专门针对数据库的。但它也有局限，就是必须连着数据库才能用，而且主要是防 SQL 注入的，对显示在网页上的 XSS 攻击（就是用户提交内容里带 ``，我要是直接把这内容显示在页面上，那访问这个页面的其他人浏览器就会弹个框。这还算好的，要是写点偷 Cookie 的脚本就麻烦了。

这时候就得用别的招了，主要是 htmlentities() 或者 htmlspecialchars()。

操作过程：

从数据库里读出数据，或者拿到用户要显示的数据。
用 $display_message = html


         
      上一篇
      云主机香港怎么选？小白也能看懂的香港云主机指南！
    
        
      下一篇
      廉价虚拟主机怎么挑？新手小白选购指南！


  
    随便看看
    
             做公司网站的公司一般多少钱？价格影响因素揭秘！  发布日期： 2025-03-26  
             东莞seo怎么做？这几个技巧让你的网站排名飙升！  发布日期： 2025-03-21  
             网站建设设费用高吗？普通人建站要多少钱？  发布日期： 2025-03-23  
             公司网站建设意见：新手如何搭建优质企业官网？  发布日期： 2025-03-28  
             公司网站开发和设计要多少钱？看完报价心里有数！  发布日期： 2025-03-27