PHP淨化數據

Question

我是編程和PHP領域的新手，因此想要了解清理表單數據以避免格式不正確的頁面，代碼注入等的最佳方式。我在下面的示例中找到了示例腳本嗎？

代碼最初發佈於http://codeassembly.com/How-to-sanitize-your-php-input/

/** 
* Sanitize only one variable . 
* Returns the variable sanitized according to the desired type or true/false 
* for certain data types if the variable does not correspond to the given data type. 
* 
* NOTE: True/False is returned only for telephone, pin, id_card data types 
* 
* @param mixed The variable itself 
* @param string A string containing the desired variable type 
* @return The sanitized variable or true/false 
*/ 

function sanitizeOne($var, $type) 
{  
    switch ($type) { 
    case 'int': // integer 
     $var = (int) $var; 
     break; 

    case 'str': // trim string 
     $var = trim ($var); 
     break; 

    case 'nohtml': // trim string, no HTML allowed 
     $var = htmlentities (trim ($var), ENT_QUOTES); 
     break; 

    case 'plain': // trim string, no HTML allowed, plain text 
     $var = htmlentities (trim ($var) , ENT_NOQUOTES) ; 
     break; 

    case 'upper_word': // trim string, upper case words 
     $var = ucwords (strtolower (trim ($var))); 
     break; 

    case 'ucfirst': // trim string, upper case first word 
     $var = ucfirst (strtolower (trim ($var))); 
     break; 

    case 'lower': // trim string, lower case words 
     $var = strtolower (trim ($var)); 
     break; 

    case 'urle': // trim string, url encoded 
     $var = urlencode (trim ($var)); 
     break; 

    case 'trim_urle': // trim string, url decoded 
     $var = urldecode (trim ($var)); 
     break; 

    case 'telephone': // True/False for a telephone number 
     $size = strlen ($var) ; 
     for ($x=0;$x<$size;$x++) 
     { 
      if (! ((ctype_digit($var[$x]) || ($var[$x]=='+') || ($var[$x]=='*') || ($var[$x]=='p')))) 
      { 
       return false; 
      } 
     } 
     return true; 
     break; 

    case 'pin': // True/False for a PIN 
     if ((strlen($var) != 13) || (ctype_digit($var)!=true)) 
     { 
      return false; 
     } 
     return true; 
     break; 

    case 'id_card': // True/False for an ID CARD 
     if ((ctype_alpha(substr($var , 0 , 2)) != true) || (ctype_digit(substr($var , 2 , 6)) != true) || (strlen($var) != 8)) 
     { 
      return false; 
     } 
     return true; 
     break; 

    case 'sql': // True/False if the given string is SQL injection safe 
     // insert code here, I usually use ADODB -> qstr() but depending on your needs you can use mysql_real_escape(); 
     return mysql_real_escape_string($var); 
     break; 
    }  
    return $var; 
} 

Answer 1

你的示例腳本不是很大 - 所謂的字符串sanitisation只是修剪每一端的空白。依靠它會讓你很快陷入困境。

沒有一個適合所有解決方案。您需要爲您的應用程序實施正確的安全措施，這完全取決於您需要什麼輸入以及它在哪裏使用。在任何情況下，你都應該在多個層次進行消毒 - 很可能當你接收到數據，當你存儲數據時，或許你在渲染數據時。

值得一讀，可能受騙者：

What's the best method for sanitizing user input with PHP?

Clean & Safe string in PHP

Answer 2

它不壞。

對於SQL，通過使用PDO向參數中插入參數，最好避免風險。

Answer 3

這個腳本有一些很好的功能，但是它在消毒方面做得不好！

根據你所需要的（並且要接受），可以使用：

• abs()爲正數（注意，它接受花車也）

• preg_replace('/[^a-zA-Z0-9 .-]/','',$var)用於清理從字符串或preg_replace('/\D/','',$var)刪除所有非數字字符的任何特殊字符

• ctype_* functions例如。 ctype_digit($var)

• filter_var()和filter_input()功能

• type-cast例如。 (int)$_GET['id']

• convert eg。 $id=$_GET['id']+0;

Answer 4

作爲一般規則，如果你正在使用PHP MySQL的&你將要清理的數據進入MySQL的，像這樣：

$something = mysql_real_escape_string($_POST['your_form_data']); 

http://php.net/manual/en/function.mysql-real-escape-string.php