我在哪裏可以找到標準數據消毒技術的良好覆蓋範圍？

Question

我有三本關於PHP或PHP的書籍& MySQL可能合理期望找到一些Data Sanitization的覆蓋範圍，但我沒有任何運氣。是否有可靠的在線資源，涵蓋了在將數據放入數據庫之前以及在將數據從數據庫中拉出之前將其清理的基本知識。

Answer 1

Chris Shifflet在它上面寫了一本名爲Essential PHP Security的書。

Answer 2

使用PDO和binding或合適的escape string function爲mysql輸入數據。

使用htmlspecialchars與ENT_QUOTES和正確的數據字符集顯示輸出。

Answer 3

那麼Stackoverflow就是這樣的資源。你的問題被問到一天兩次。

我寫了一篇關於這個主題前面一個相當不錯的答案：In PHP when submitting strings to the database should I take care of illegal characters using htmlspecialchars() or use a regular expression?

長話短說：動態MySQL查詢的創作，你有不同的逃逸案件：

• 字符串數據
• INT數據
• 標識符
• 運營商

和臭名昭着的PDO只涵蓋了兩個其中。

對於使用ENT_QUOTES的HTML htmlspecialchars來說已經足夠了。
但是，有其他的情況下，如文件名消毒，郵件注入等