php - 服务器端验证 - 如何开始？

Question

我有一个关于从表单验证 PHP 变量的小问题。

例如：我将一个变量从一个表单发布到一个 PHP 文件。

$event_name = mysql_real_escape_string($_POST['event-name']);
if ($event_name=='' || $event_name==null)
{
    /* send error message */
}

我使用了上面的代码，每当 $_POST['event-name'] 为空时都会出错。如果我像这样使用它会不会有任何问题/后果：

$event_name = $_POST['event-name'];
if (mysql_real_escape_string($event_name)=='' || mysql_real_escape_string($event_name)==null)
 {
    /* send error message */
 }

还是我做错了？

谢谢

Answer 1

PHP isset方法用于查看 POST 中是否有内容。建议使用以下方法：

if (!isset($_POST['event-name']) || $_POST['event-name'] == "")
{
    /* send error message */
}
else
    $event_name = $_POST['event-name'];

仅mysql_real_escape_string在发出 mysql 查询时使用。

Answer 2

如果启用了 E_STRICT错误报告，您可能会收到错误“未定义的索引事件名称” 。

所以最好检查变量是否不为空

 if (!empty($_POST['event-name'])) { 
     $event_name = mysql_real_escape_string ($_POST['event-name']); //espace variables after validation.
 }

Answer 3

我认为更好的方法是：

$clean = array();

if(isset($_POST['event-name']) && ctype_alpha($_POST['event-name']) && trim($_POST['event-name']) != "")
{
  $clean['event-name'] = mysql_real_escape_string($_POST['event-name']);
}
else
{
  // process error message
}