在發送到MySQL數據庫之前清理外部XML數據

Question

我正在使用一些XML源來檢索數據（來自外部源）。我將檢索數據，然後將其發送到我自己的MySQL數據庫，以便我可以隨意操作它。

我只是希望就這個過程的最佳做法提供一些建議。我希望儘可能使其自動化，但我謹慎地將來自外部源的未經驗證的XML數據直接發送到我自己的數據庫。

我將實施一些標準驗證來轉義字符串等，但我應該在提交給我自己的數據庫之前「自動」清理每一部分數據？

我應該根據它自己的一套規則驗證每條數據，然後才能讓它進入我的數據庫？

我希望這已經夠清楚了。如果可能的話，我很樂意聽到一些意見。

Answer 1

有兩件事你應該擔心：1 sql注入2跨站腳本。

第一個很簡單就是使用準備好的狀態機mysqli或PDO。

對於corss站點腳本，您可以選擇在將其放入數據庫或檢索它之前將其清除。我個人喜歡做第二個。在回聲之前使用函數htmlspecialchars（）並且應該是安全的。