0

我想从用户那里检查我的数据是否存在 XSS 和 SQL 注入，这就是我尝试的方式

if (isset($_GET['membernumber'])) 
{
    $mem = htmlentities($_GET['membernumber']);
    $memberparamter = cleanData($mem);

}

但是哪种方法是最好/正确的检查方法？

方法一

function cleanData($data)
    {
        $data=mysql_real_escape_string($data);
        $data=trim($data);
        $data=stripcslashes($data);
        $data=htmlspecialchars($data);
        $data=strip_tags($data);
        return $data;
    }

方法二

function cleanData($data)
    {
        $data=mysql_real_escape_string($data);
        $data=trim($data);
        $data=strip_tags($data);
        return $data;
    }

方法3

htmlspecialchars(stripcslashes(trim($data)))
4

4 回答 4

4

如前所述，准备好的语句是防止 SQL 注入的最佳方法之一。即，您不应将参数添加为最终查询字符串的一部分。您应该使用参数占位符，并通过键/值数组添加参数。

如果您使用 PDO，请查看此页面，其中更详细地描述了准备好的语句：

http://php.net/manual/en/pdo.prepared-statements.php

可以在此处找到对 PHP 输入过滤器的非常详尽的解释（以及一篇关于清理的好文章）：

http://coding.smashingmagazine.com/2011/01/11/keeping-web-users-safe-by-sanitizing-input-data/

在此处查看 PHP 自己的过滤器/清理功能：

http://www.php.net/manual/en/filter.filters.php

您可能对 filter_var 和 filter_input 函数感兴趣：

此外，这个问题有一些很好的提示： 使用 PHP 清理用户输入的最佳方法是什么？

这个问题也有很好 的提示：最好的 PHP 输入清理函数是什么？

于 2013-05-25T12:15:55.247 回答
1

如果要防止 SQL 注入攻击，请使用准备好的语句。当你做类似的事情时

SELECT * FROM TABLE WHERE id = $_GET['x']

这个查询的问题是变量被认为是 SQL 语句的一部分。这意味着 DBMS 将解析/编译和执行变量以及查询的其余部分。如此有效，我可以提供类似的东西

$x = "1); DROP TABLE users;"

并且由于它是语句的一部分，服务器将执行该命令。

当你引入准备好的语句时，变量范围将被限制在一个参数的范围内，即使没有转义，也不会影响查询的其余部分。这是因为 SQL 语句由数据库解析/优化/编译等，您所要做的就是绑定参数。sql 语句是一个模板。

SELECT * FROM TABLE WHERE id = ?

使用准备好的语句的另一个好处是速度。由于模板已经解析/编译等，数据库不需要重复该过程，因此可以重复使用，您所要做的就是替换参数。

在 PHP 中，PDO 和 mysqli_* 函数都支持预处理语句。

对于 mysqli，请参阅http://php.net/manual/en/mysqli.prepare.php 对于 PDO，请参阅http://php.net/manual/en/pdo.prepare.php

至于 XSS 攻击，您可以采取一些方法。第一个是在打印到页面时简单地转义任何用户输入。如此危险的字符，例如：

 <>"" // and so on

将替换为等效的 html 实体。所以在 的情况下<script>，它会被转换为&lt;script&gt;。

您还可以设置白名单方法，仅允许 X 标记用于用户输入。这对于面向内容的网站特别有用，在这些网站中，用户可能需要访问某些 html 标签，例如 div、p 标签等，但不需要访问脚本标签。任何不在白名单内的标签都将被过滤掉。这很难完全涵盖，因为有很多做事的方式，但它可以提供额外的安全性。有关更多信息，请参见http://php.net/manual/en/function.filter-var.php。

第三种方法是用自定义标签替换 html 标签（就像 SO 一样）。因此，单词前面的星号可能代表<strong>html 标签等。

请注意，如果您确实采用了后两者，您仍然应该转义数据。即使过滤了所有用户输入数据，也应将其视为潜在危险，因为正如他们所说，总是有不止一种方法可以给猫剥皮。

于 2013-05-25T12:45:21.433 回答
0

它们都不够有效。

你应该像你一样寻找消毒并使用准备好的陈述。

于 2013-05-25T13:03:11.630 回答
-3

XSS $data=htmlspecialchars($data); sql 注入 $data=stripcslashes($data);

如果数据将存储到数据库中然后显示在网页上，你应该两者兼而有之。

于 2013-05-25T12:14:42.317 回答