php防止sql注入函数用法

在 虽然国内很多 addslashes的问题在 于黑客 可以用0xbf27来代替单引号，而addslashes只是将0xbf27修改为0xbf5c27，成为一个有效的多字节字符，其中的0xbf5c仍会 被看作是单引号，所以addslashes无法成功拦截。 当然addslashes也不是毫无用处，它是用于单字节字符串的处理，多字节字符还是用mysql_real_escape_string吧。 另外对于 例子： { if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否为打开 { $post = addslashes($post); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤 } $post = str_replace("_", "_", $post); // 把 '_'过滤掉 $post = str_replace("%", "%", $post); // 把' % '过滤掉 $post = nl2br($post); // 回车转换 $post= htmlspecialchars($post); // html标记转换 return $post; } ?> 或 { return eregi('select|insert|update|delete|'| function verify_id($id=null) { if (!$id) { exit('没有提交参数！'); } // 是否为空判断 elseif (inject_check($id)) { exit('提交的参数非法！'); } // 注射判断 elseif (!is_numeric($id)) { exit('提交的参数非法！'); } // 数字判断 $id = intval($id); // 整型化 return $id; } ?> 复制代码 string mysql_real_escape_string ( string $unescaped_string [, resource $link_identifier ] ) 本函数将 unescaped_string 中的特殊字符转义，并计及连接的当前字符集，因此可以安全用于 mysql_query()。 Note: mysql_real_escape_string() 并不转义 % 和 _。 mysql_real_escape_string 例1，mysql_real_escape_string() 例子 $escaped_item = mysql_real_escape_string ( $item ); printf ( "Escaped string: %sn" , $escaped_item ); ?> 复制代码 输出：Escaped string: Zak's and Derick's Laptop mysql_escape_string本函数将 unescaped_string 转义，使之可以安全用于 mysql_query()。注: mysql_escape_string() 并不转义 % 和 _。本函数和 mysql_real_escape_string() 完全一样，除了 mysql_real_escape_string() 接受的是一个连接句柄并根据当前字符集转移字符串之外。mysql_escape_string() 并不接受连接参数，也不管当前字符集设定。 例1. mysql_escape_string() 例子 $escaped_item = mysql_escape_string($item); printf ("Escaped string: %sn", $escaped_item); ?> 复制代码 输出：Escaped string: Zak's Laptop mysql_real_escape_string和mysql_escape_string这2个函数的区别：mysql_real_escape_string 必须在(= 4.3.0, 例子： if (get_magic_quotes_gpc()) { $clean = mysql_real_escape_string(stripslashes($dirty)); }else{ $clean = mysql_real_escape_string($dirty); } return $clean; } 复制代码 总结：* addslashes() 是强行加;* mysql_real_escape_string() 会判断字符集，但是对