Question

php自定义一个函数用来过滤表单的。。比如说filter($_POST)；调用filter函数的时

php自定义一个函数用来过滤表单的。。比如说filter($_POST)；调用filter函数的时候POST过来的所有非法字符都被过滤掉。。filter函数应该如何写？大神指教啊。

Answer 1

function filter($array){
foreach($array as $k=>$v){
$array[$k]=htmlspecialchars(strip_tags($v));
$array[$k]=eregi('select|insert|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile',$array[$k];
}
}

追问

$_POST所有值还是不能都过滤

Answer 2

function filter($str){
return addslashes(htmlspecialchars(trim($str)));
}

// 防止数据库注入最好的方法是PDO操作数据库，
php官方推荐的方法，prepare and bind方法，预处理和绑定字符串类型

追问

这个不能过滤POST过来的所有值吧？

追答

单个过滤的，不过滤也可以的，PDO操作数据库就行，这样很安全的

追问

哦(´-ω-`) 谢谢啦

追答

你采纳的那个，是很过时的方法，如果我传一个#号，直接注释后面的sql，就可以攻破，ereg函数同时官方也不推荐使用了，除非php5.2以下版本的，现在正则匹配是preg_match函数，一般处理一下，然后pdo方式插入到数据库就好的。建议采纳我

你采纳的那个，是很过时的方法，如果我传一个#号，直接注释后面的sql，就可以攻破，ereg函数同时官方也不推荐使用了，除非php5.2以下版本的，现在正则匹配是preg_match函数，一般处理一下，然后pdo方式插入到数据库就好的。建议采纳我

追问

怎么样改变采纳。。

追答

不知道，你就去搜啊

不知道，你就去搜啊