STR-取代致命錯誤：只有變量可以通過參考

Question

傳遞我有這樣的代碼作爲抗HTML和SQL注入的在線遊戲，但它不工作，使我有以下錯誤：

​​

這裏是我的代碼：

$_POST = str_replace('<', '>', '\'', '\'', '\\', '&lt;', '&gt;', '&quot;', '&#39; ', '&#92;', $_POST); 
    $_GET = str_replace('<', '>', '\'', '\'', '\\', '&lt;', '&gt;', '&quot;', '&#39;', '&#92;', $_GET); 

這是第一個兩行，但我敢肯定，這個問題將是第二個了。我不擅長PHP，這些都是我從網上取得的文件。 我該如何解決這個問題？

Answer 1

你不需要實現自己的XSS過濾器，由於已有現有one

你可以用這種方式利用這一優勢：

$_POST = filter($_POST); 
$_GET = filter($_GET); 

function filter(array $value) { 
     return is_array($value) ? array_map(__FUNCTION__, $value) : htmlentities($value); 

} 

這將過濾嵌套數組作爲以及（如果你的輸入很喜歡name[]）

Answer 2

也許是這樣的：

$post_vars = array(); 

for ($i=0; i<count($_POST); $i++) 
{ 
    $post_vars[$i] = str_replace('<', '>', '\'', '\'', '\\', '&lt;', '&gt;', '&quot;', '&#39; ', '&#92;', $_POST[$i]); 
} 

同樣適用於$ _GET數組。