Question

php怎样过滤非法字符防止sql注入？

if($_POST["Submit"])
{

$username=$_POST["username"];
$pwd=$_POST["pwd"];
$code=$_POST["code"];
if($code<>$_SESSION["auth"])
{
echo "<script language=javascript>alert('验证码不正确！');window.location='login.php'</script>";
?>
<?php
die();
}
$sql="select * from admin where username='$username' and password='$pwd'";
$rs=mysql_query($sql);
if(mysql_num_rows($rs)==1)
{
$_SESSION["pwd"]=$_POST["pwd"];
$_SESSION["admin"]=session_id();
echo "<script language=javascript>alert('登陆成功！');window.location='admin_index.php'</script>";
}
else
{
echo "<script language=javascript>alert('用户名或密码错误！');window.location='login.php'</script>";
?>
<?php
die();
}
}
?>
上面php代码怎样修改，过滤用户输入的非法字符防止sql注入？？？

Answer 1

htmlspecialchars($_POST['字段'])，用这个函数就可以将一些特殊字符进行过滤转义。你可以去看看这个函数的说明。