php - 这种清理功能是否可以避免大多数攻击？

Question

此功能是否会将我的应用程序从大多数不正确的输入中拯救出来？用户输入只能是带有数字的文本。

function sanitize($data){
    $data = strip_tags($data);
    $data = htmlspecialchars($data,ENT_QUOTES);
    $data = filter_var($data,FILTER_SANITIZE_STRING);
    $data = filter_var($data,FILTER_SANITIZE_STRING,FILTER_FLAG_STRIP_LOW);
    return $data;           
}

PS 需要任何其他信息吗？

Answer 1

没有所谓的“只是清理”数据。您必须针对特定用例适当地清理数据，无论是发送到数据库、用作文件名还是回显给用户，等等。您清理数据（句号）的尝试注定要失败，因为没有清理数据（句号）之类的东西。这甚至没有意义。“清理”数据的概念只有在与您希望清理数据的上下文配对时才有意义。

特别是，如果您打算清理数据以进入数据库（不清楚 - 您的问题没有特别提及数据库，但它具有“sql-injection”标签），那么您很可能需要有关数据库连接的信息您正在使用以正确执行此操作。