首页 / PHP / PHP：filter_var清理足够安全吗？

PHP：filter_var清理足够安全吗？

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了PHP：filter_var清理足够安全吗？，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1003字，纯文字阅读大概需要2分钟。

内容图文

我有一个PHP脚本,其中包含以下行：

$query = "SELECT * FROM products WHERE product_id='" . filter_var($_GET[id], FILTER_SANITIZE_NUMBER_INT) . "'";

这样安全吗？你会如何改进这段代码？

解决方法:

对于这种情况是安全的,但对于更通用的方法,我宁愿将mysql_real_escape_string与类型转换结合使用：

$query = "SELECT * FROM products WHERE product_id='" . (int)mysql_real_escape_string($_GET['id']) . "'";

在最坏的情况下,这将导致0并且还将逃避所有恶意输入. mysql_real_escape_string可用于各种数据,使查询安全,这使其成为所有逃生/卫生功能中最通用的.

如果不使用预准备语句,您可以使用sprintf创建SQL并自动处理类型转换：

$query = sprintf("SELECT * FROM products WHERE product_id = '%d'", mysql_real_escape_string($_GET['id']));

有关语法,请参阅PHP手册中的sprintf条目.

如果使用array_map来转义所有$_GET和$_POST变量,它会更简单,那么你可以按原样使用它们：

$_GET = array_map('mysql_real_escape_string', $_GET);
$_POST = array_map('mysql_real_escape_string', $_POST);

$query = sprintf("SELECT * FROM products WHERE product_id = '%d'", $_GET['id']);

内容总结

以上是互联网集市为您收集整理的PHP：filter_var清理足够安全吗？全部内容，希望文章能够帮你解决PHP：filter_var清理足够安全吗？所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/811557.html

来源：【匿名】