什么是最好的PHP输入消毒功能？

Question

什么是最好的PHP输入消毒功能？

我正试图想出一个函数，我可以传递我所有的字符串通过消毒。因此，从其中取出的字符串对于数据库插入是安全的。但是有那么多滤波函数在那里，我不确定我应该使用[需要]哪些。

请帮我填空：

function filterThis($string) {
    $string = mysql_real_escape_string($string);
    $string = htmlentities($string);
    etc...
    return $string;}

Answer 1

防止sql注入的最有效的消毒方法是使用PDO..使用参数化查询，查询与数据分离，从而消除了一阶SQL注入的威胁。在删除HTML方面，strip_tags可能是删除HTML的最佳方法，因为它只会删除所有内容。htmlentities做听起来像的事，所以这也有效。如果您需要解析要允许的HTML(也就是说，您希望允许一些)，您应该使用成熟的现有解析器，例如HTML净化器