① php中防止sql注入的最好方法是什么
使用预备义语句和参数化查询。对于带有任何参数的sql语句都会被发送到数据库服务器，并被解析！对于攻击者想要恶意注入sql是不可能的！ 实现这一目标基本上有两种选择： 1.使用PDO(PHP Data Objects )：$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name'); $stmt->execute(array(':name' => $name)); foreach ($stmt as $row) { // do something with $row }2.使用mysqli:$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?'); $stmt->bind_param('s', $name); $stmt->execute(); $result = $stmt->get_result(); while ($row = $result->fetch_assoc()) { // do something with $row }PDO(PHP数据对象) 注意当使用PDO访问MySQL数据库真正的预备义语句并不是默认使用的！为了解决这个问题，你必须禁用仿真准备好的语句。使用PDO创建连接的例子如下： $dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass'); $dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); $dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);在上面例子中错误模式ERRMODE不是严格必须的，但是建议添加它。当运行出错产生致命错误时，这种方法脚本不会停止。并给开发人员捕捉任何错误的机会（当抛出PDOException异常时）。 setAttribute()那一行是强制性的，它告诉PDO禁用仿真预备义语句，使用真正的预备义语句。这可以确保语句和值在发送给MySQL数据库服务器前不被PHP解析(攻击者没有机会注入恶意的SQL). 当然你可以在构造函数选项中设置字符集参数，特别注意'老'的PHP版本（5.3.6）会在DSN中忽略掉字符集参数。 这里最重要的是，该参数值是和预编译的语句结合的，而不是和一个SQL字符串.SQL注入的工作原理是通过欺骗手段创建的SQL脚本包括恶意字符串发送到数据库.因此，通过发送实际的分开的sql参数,你会降低风险.使用准备好的语句时，你发送的任何参数，将只被视为字符串（虽然数据库引擎可能会做一些参数的优化，当然最终可能会为数字）.在上面的例子中，如果变量$name包含'sarah';DELETE * FROM employees,结果只会是一个搜索的字符串"'sarah';DELETE * FROM employees",你不会得到一个空表。 使用准备好的语句的另一个好处是，如果你在同一会话中多次执行相同的语句，这将只被解析和编译一次，给你一些的速度增长。
② PHP PDO驱动问题，怎么解决
最简单的方法把这个预编译写法是把SQL指令预先放到SQL服务器，命令执行的时候在动态的传递数据
这个写法的一个好处是安全，防止SQL注入，因为放了一个问号，就已经表示那是数据而不是一个SQL可执行的语句
第二个好处是可以一次编译多次执行，在执行多个相似操作的时候，会加快SQL的速度，降低SQL服务器的负担就这样试试吧，如果你对php有兴趣的话，可以向我一样在后盾人平台多看看自己学习学习，时间长了自己就慢慢明白了，希望能帮到你，给个采纳吧谢谢o(〒㉨〒)o
③ 如何实现php的安全最大化怎样避免sql注入漏洞和xss跨站脚本攻击漏洞
使用php安全模式
服务器要做好管理，账号权限是否合理。
假定所有用户的输入都是“恶意”的，防止XSS攻击，譬如：对用户的输入输出做好必要的过滤
防止CSRF，表单设置隐藏域，post一个随机字符串到后台，可以有效防止跨站请求伪造。
防御SQL注入。
避免SQL注入漏洞
1.使用预编译语句
2.使用安全的存储过程
3.检查输入数据的数据类型
4.从数据库自身的角度考虑，应该使用最小权限原则，不可使用root或dbowner的身份连接数据库。若多个应用使用同一个数据库，也应该为数据库分配不同的账户。web应用使用的数据库账户，不应该有创建自定义函数，操作本地文件的权限。
避免XSS跨站脚本攻击
1.假定所有用户输入都是“邪恶”的
2.考虑周全的正则表达式
3.为cookie设置HttpOnly,防止cookie劫持
4.外部js不一定可靠
5.出去不必要的HTML注释
6. 针对非法的HTML代码包括单双引号等，使用htmlspecialchars()函数。
④ PHP的SQL漏洞修复！【中危漏洞】SQL_Injection_Vulnerability【编号：3303280】
攻击方法就在：
request:{"body":"ClassID=1+and%281%3D1%29","header":"POST /m/dianhua.asp HTTP 1.1
Content-Length: 24
/m/dianhua.asp这里，即你要修复的位置。
⑤ php 使用mysql 的prepare预编译,下面这段代码有防sql注入的功能么请高手赐教
sql注入怎么回事:说白了就是在一个单引号上做文章,你把单引号转义就没啥问题了,预编译就是把这些字符转义后插入,其中包括单引号。
这段可以防止.
⑥ php7中为什么不能用
1. 不要使用 mysql_ 函数
这一天终于来了，从此你不仅仅“不应该”使用mysql_函数。PHP 7 已经把它们从核心中全部移除了，也就是说你需要迁移到好得多的mysqli_函数，或者更灵活的 PDO 实现。
2. 不要编写垃圾代码
这一条可能易于理解，但是会变得越来越重要，因为 PHP 7 的速度提升可能会隐藏你的一些问题。不要仅仅满足于你的站点速度，因为迁移到 PHP 7 才让它变快。
为了理解速度有多重要，以及如何把事情做得更好，请看一看我们的文章速度优化入门指南。
作为一名开发者，你应该总是确保按需加载脚本，尽可能连接它们，编写高效的数据库查询，尽可能使用缓存，以及其它。
3. 不要在文件末尾使用 PHP 闭合标签
你可以看一看，当一个文件以 PHP 代码结尾时，WordPress 多数核心代码都把末尾的 PHP 标签去掉了。实际上，Zend 框架特别禁止了它。PHP 并不需要文件末尾的闭合标签，并且我们可以通过去掉它来保证不会在后面添加任何的空白字符。
4. 不要做不必要的引用传递
我个人不喜欢引用传递。我知道有时候它很实用，但是其它情况下它使代码变得难懂，并且更难预测结果。
据说一些人认为它使代码运行更快，但是根据一些 PHP 高级程序员所说，这并不正确。
说明引用为什么不好的一个例子是，PHP 内建了shuffle()和sort()。它们修改原始数组，而不是返回处理后的数组，这很不合逻辑。
5. 不要在循环中执行查询
在循环中执行查询非常浪费。它给你的系统施加不必要的压力，并且可能能够在循环外部更快获得相同结果。当我遇到需要这样的情况时，我通常会使用两个分离的查询来解决问题，我会使用它们来构建数据数组。之后我会遍历数组，并不需要在这个过程中执行查询。
由于 WordPress 适用于这里，它可能有一些例外。虽然get_post_meta() 会从数据库获取大量数据，如果你正在遍历某个特殊博文的元数据你可以在循环中使用它。这是因为当你第一次调用它的时候，WordPress实际上会获取所有元数据并缓存它们。后续的调用使用这些缓存数据，没有数据库的调用。
弄懂这些的最佳方式是阅读函数文档，以及使用类似 Query Monitor 的工具。
6. 不要在 SQL 查询中使用 *
当然，这个更像 MySQL 的问题，但是我们习惯在 PHP 中编写 SQL 代码，所以都差不多。无论如何，如果可以避免的话，不要在 SQL 查询里使用通配符，尤其是数据库有很多列的时候。
你应该明确指定需要哪些行，并且仅仅获取它们。这有助于减少所用资源，保护数据，以及让事情变得尽可能清晰。
对于 SQL，你需要了解所有可用的函数，并且尽可能测试其速度。在计算均值、求和或计算类似数值时，要使用 SQL 函数而不是 PHP 函数。如果你不确定某个查询的速度，测试它并且尝试一些其它的编译 — 之后使用最好的那个。
7. 不要信任用户输入
信任用户输入是不明智的。始终校验、过滤、转义、检查并留好退路。用户数据存在三个问题：我们开发者并没有考虑每种可能性，它通常不正确，以及它可能是蓄意破坏。
经过周密考虑的系统可以防护这些威胁。要确保使用类似filter_var()的内建函数检查适当的值，以及在处理数据库时转义（或预编译）。
WordPress 拥有一些函数来解决问题。详见文章校验、转义和过滤用户数据。
8. 不要故作聪明
你的目标应该是编写优雅的代码，来更清晰地表达你的意图。你可能能够通过将任何东西缩短为一个单词的变量，使用多层的三元逻辑，以及其它手段，从每个页面中优化 0.01 秒。但这只会给你和你周围的人产生大麻烦。
合理命名变量，为代码编写文档，优先选择清晰而不是简洁。甚至还可以更好，使用标准的面向对象代码，它本身或多或少就是文档，不需要一大堆内联数值。
9. 不要重新发明轮子
PHP 到现在为止有很长时间了，网站被造出来的时间更长。很可能无论你需要造出什么，一些人之前早就造出来了。不要害怕向他人寻求支持，Github是你的好朋友，Composer也是，Packagist也是。
从日志工具到调色工具，从性能分析器到单元测试框架，从 Mailchimp API 到 Twitter Bootstrap，每个东西都可以通过按下按键（或者敲下命令）来获取，使用它们吧！
10. 不要忽略其它语言
如果你是个 PHP 程序员，现在有个好机会去至少了解 HTML、CSS、JavaScript 和 MySQL。当你能够更好地处理这些语言时，就是重新学习 JavaScript 的时机了。JavaScript 并不是 jQuery，你应该合理地学习 JavaScript 来更高效地使用它。
我也打算向你推荐学习面向对象的 PHP，它可以节省时间，并且在代码规模更大时会变得更好。对于类似 C# 和 Java 的语言，在你了解 OOP 之后，它们也更易于理解。
通过了解包管理器、构建脚本、CoffeeScript、LESS、SASS、YAML 、脚本引擎和其它强大的工具来扩展你的知识面。我强烈向你推荐看一看其它框架，尤其是 Laravel。
当你使用它们出色完成任务时，学习 Ruby、RoR、Android、iPhone 和 Windows Phone 应用开发如何？你可能会认为这毫无意义，因为它们在你的舒适区和工作所需范围之外，但是这就是它们的意义。每种语言都有一些要学习的实用的东西，以及从没碰到的新知识。所有 PHP 顶级开发者都懂得很多其它编程语言，这并非偶然。
⑦ php7中为什么不能用
PHP(外文名:PHP: Hypertext Preprocessor，中文名：“超文本预处理器”)是一种通用开源脚本语言。语法吸收了C语言、Java和Perl的特点，利于学习，使用广泛，主要适用于Web开发领域。PHP 独特的语法混合了C、Java、Perl以及PHP自创的语法。它可以比CGI或者Perl更快速地执行动态网页。用PHP做出的动态页面与其他的编程语言相比，PHP是将程序嵌入到HTML(标准通用标记语言下的一个应用)文档中去执行，执行效率比完全生成HTML标记的CGI要高许多;PHP还可以执行编译后代码，编译可以达到加密和优化代码运行，使代码运行更快。
php7
1. 不要使用 mysql_ 函数
这一天终于来了，从此你不仅仅“不应该”使用mysql_函数。PHP 7 已经把它们从核心中全部移除了，也就是说你需要迁移到好得多的mysqli_函数，或者更灵活的 PDO 实现。
2. 不要编写垃圾代码
这一条可能易于理解，但是会变得越来越重要，因为 PHP 7 的速度提升可能会隐藏你的一些问题。不要仅仅满足于你的站点速度，因为迁移到 PHP 7 才让它变快。
为了理解速度有多重要，以及如何把事情做得更好，请看一看我们的文章速度优化入门指南。
作为一名开发者，你应该总是确保按需加载脚本，尽可能连接它们，编写高效的数据库查询，尽可能使用缓存，以及其它。
3. 不要在文件末尾使用 PHP 闭合标签
你可以看一看，当一个文件以 PHP 代码结尾时，WordPress 多数核心代码都把末尾的 PHP 标签去掉了。实际上，Zend 框架特别禁止了它。PHP 并不需要文件末尾的闭合标签，并且我们可以通过去掉它来保证不会在后面添加任何的空白字符。
4. 不要做不必要的引用传递
我个人不喜欢引用传递。我知道有时候它很实用，但是其它情况下它使代码变得难懂，并且更难预测结果。
据说一些人认为它使代码运行更快，但是根据一些 PHP 高级程序员所说，这并不正确。
说明引用为什么不好的一个例子是，PHP 内建了shuffle()和sort()。它们修改原始数组，而不是返回处理后的数组，这很不合逻辑。
5. 不要在循环中执行查询
在循环中执行查询非常浪费。它给你的系统施加不必要的压力，并且可能能够在循环外部更快获得相同结果。当我遇到需要这样的情况时，我通常会使用两个分离的查询来解决问题，我会使用它们来构建数据数组。之后我会遍历数组，并不需要在这个过程中执行查询。
由于 WordPress 适用于这里，它可能有一些例外。虽然get_post_meta() 会从数据库获取大量数据，如果你正在遍历某个特殊博文的元数据你可以在循环中使用它。这是因为当你第一次调用它的时候，WordPress实际上会获取所有元数据并缓存它们。后续的调用使用这些缓存数据，没有数据库的调用。
弄懂这些的最佳方式是阅读函数文档，以及使用类似 Query Monitor 的工具。
6. 不要在 SQL 查询中使用 *
当然，这个更像 MySQL 的问题，但是我们习惯在 PHP 中编写 SQL 代码，所以都差不多。无论如何，如果可以避免的话，不要在SQL 查询里使用通配符，尤其是数据库有很多列的时候。
你应该明确指定需要哪些行，并且仅仅获取它们。这有助于减少所用资源，保护数据，以及让事情变得尽可能清晰。
对于 SQL，你需要了解所有可用的函数，并且尽可能测试其速度。在计算均值、求和或计算类似数值时，要使用 SQL 函数而不是PHP 函数。如果你不确定某个查询的速度，测试它并且尝试一些其它的编译 — 之后使用最好的那个。
7. 不要信任用户输入
信任用户输入是不明智的。始终校验、过滤、转义、检查并留好退路。用户数据存在三个问题：我们开发者并没有考虑每种可能性，它通常不正确，以及它可能是蓄意破坏。
经过周密考虑的系统可以防护这些威胁。要确保使用类似filter_var()的内建函数检查适当的值，以及在处理数据库时转义(或预编译)。
WordPress 拥有一些函数来解决问题。详见文章校验、转义和过滤用户数据。
8. 不要故作聪明
你的目标应该是编写优雅的代码，来更清晰地表达你的意图。你可能能够通过将任何东西缩短为一个单词的变量，使用多层的三元逻辑，以及其它手段，从每个页面中优化 0.01 秒。但这只会给你和你周围的人产生大麻烦。
合理命名变量，为代码编写文档，优先选择清晰而不是简洁。甚至还可以更好，使用标准的面向对象代码，它本身或多或少就是文档，不需要一大堆内联数值。
9. 不要重新发明轮子
PHP 到现在为止有很长时间了，网站被造出来的时间更长。很可能无论你需要造出什么，一些人之前早就造出来了。不要害怕向他人寻求支持，Github是你的好朋友，Composer也是，Packagist也是。
从日志工具到调色工具，从性能分析器到单元测试框架，从 Mailchimp API 到 Twitter Bootstrap，每个东西都可以通过按下按键(或者敲下命令)来获取，使用它们吧!
10. 不要忽略其它语言
如果你是个 PHP 程序员，现在有个好机会去至少了解 HTML、CSS、JavaScript 和 MySQL。当你能够更好地处理这些语言时，就是重新学习 JavaScript 的时机了。JavaScript 并不是 jQuery，你应该合理地学习 JavaScript 来更高效地使用它。
我也打算向你推荐学习面向对象的 PHP，它可以节省时间，并且在代码规模更大时会变得更好。对于类似 C# 和 Java 的语言，在你了解 OOP 之后，它们也更易于理解。
通过了解包管理器、构建脚本、CoffeeScript、LESS、SASS、YAML 、脚本引擎和其它强大的工具来扩展你的知识面。我强烈向你推荐看一看其它框架，尤其是 Laravel。
当你使用它们出色完成任务时，学习 Ruby、RoR、Android、iPhone 和 Windows Phone 应用开发如何?你可能会认为这毫无意义，因为它们在你的舒适区和工作所需范围之外，但是这就是它们的意义。每种语言都有一些要学习的实用的东西，以及从没碰到的新知识。所有 PHP 顶级开发者都懂得很多其它编程语言，这并非偶然。
⑧ php防sql注入的代码
一、 注入式攻击的类型
可能存在许多不同类型的攻击动机，但是乍看上去，似乎存在更多的类型。这是非常真实的-如果恶意用户发现了一个能够执行多个查询的办法的话。本文后面，我们会对此作详细讨论。
如
果你的脚本正在执行一个SELECT指令，那么，攻击者可以强迫显示一个表格中的每一行记录-通过把一个例如"1=1"这样的条件注入到WHERE子句中，如下所示(其中，注入部分以粗体显示)：
SELECT * FROM wines WHERE variety = ’lagrein’ OR 1=1;’
正如我们在前面所讨论的，这本身可能是很有用的信息，因为它揭示了该表格的一般结构(这是一条普通的记录所不能实现的)，以及潜在地显示包含机密信息的记录。
一条更新指令潜在地具有更直接的威胁。通过把其它属性放到SET子句中，一名攻击者可以修改当前被更新的记录中的任何字段，例如下面的例子（其中，注入部分以粗体显示）：
UPDATE wines SET type=’red’，’vintage’=’9999’ WHERE variety = ’lagrein’
通过把一个例如1=1这样的恒真条件添加到一条更新指令的WHERE子句中，这种修改范围可以扩展到每一条记录，例如下面的例子（其中，注入部分以粗体显示）：
UPDATE wines SET type=’red’，’vintage’=’9999 WHERE variety = ’lagrein’ OR 1=1;’
最危险的指令可能是DELETE-这是不难想象的。其注入技术与我们已经看到的相同-通过修改WHERE子句来扩展受影响的记录的范围，例如下面的例子（其中，注入部分以粗体显示）：
DELETE FROM wines WHERE variety = ’lagrein’ OR 1=1;’
二、 多个查询注入
多个查询注入将会加剧一个攻击者可能引起的潜在的损坏-通过允许多条破坏性指令包括在一个查询中。在使用MySQL数据库时， 攻击者通过把一个出乎意料之外的终止符插入到查询中即可很容易实现这一点-此时一个注入的引号(单引号或双引号)标记期望变量的结尾；然后使用一个分号终 止该指令。现在，一个另外的攻击指令可能被添加到现在终止的原始指令的结尾。最终的破坏性查询可能看起来如下所示：
SELECT * FROM wines WHERE variety = ’lagrein’;
GRANT ALL ON *.* TO ’BadGuy@%’ IDENTIFIED BY ’gotcha’;’
这个注入将创建一个新的用户BadGuy并赋予其网络特权（在所有的表格上具有所有的特权）；其中，还有一个"不祥"的口令被加入到这个简单的SELECT语句中。如果你遵循我们在以前文章中的建议－严格限制该过程用户的特权，那么，这应该无法工作，因为web服务器守护程序不再拥有你撤回的GRANT特权。但是从理论上讲，这样的一个攻击可能给予BadGuy自由权力来实现他对你的数据库的任何操作。
至 于这样的一个多查询是否会被MySQL服务器处理，结论并不唯一。这其中的一些原因可能是由于不同版本的MySQL所致，但是大多数情况却是由于多查询存 在的方式所致。MySQL的监视程序完全允许这样的一个查询。常用的MySQL GUI-phpMyAdmin，在最终查询之前会复制出以前所有的内容，并且仅仅这样做。
但是，大多数的在一个注入上下文中的多查询都是由PHP的mysql 扩展负责管理的。幸好，默认情况下，它是不允许在一个查询中执行多个指令的；试图执行两个指令(例如上面所示的注入)将会简单地导致失败-不设置任何错 误，并且没有生成任何输出信息。在这种情况下，尽管PHP也只是"规规矩矩"地实现其缺省行为，但是确实能够保护你免于大多数简单的注入式攻击。
PHP5中的新的mysqli扩展(参考http://php.net/mysqli)，就象mysql一样，内在地也不支持多个查询，不过却提供了一个mysqli_multi_query()函数以支持你实现多查询-如果你确实想这样做的话。
然而，对于SQLite-与PHP5绑定到一起的可嵌入的SQL数据库引擎(参考http://sqlite.org/和http://php.net/sqlite) 情况更为可怕，由于其易于使用而吸引了大量用户的关注。在有些情况下，SQLite缺省地允许这样的多指令查询，因为该数据库可以优化批查询，特别是非常 有效的批INSERT语句处理。然而，如果查询的结果为你的脚本所使用的话（例如在使用一个SELECT语句检索记录的情况下）， sqlite_query()函数却不会允许执行多个查询。三、 INVISION Power BOARD SQL注入脆弱性
Invision Power Board是一个着名的论坛系统。2005年五月6号，在登录代码中发现了一处SQL注入脆弱性。其发现
者为GulfTech Security Research的James Bercegay。
这个登录查询如下所示：
$DB->query("SELECT * FROM ibf_members WHERE id=$mid AND password=’$pid’");
其中，成员ID变量$mid和口令ID变量$pid被使用下面两行代码从my_cookie()函数中检索出：
$mid = intval($std->my_getcookie(’member_id’));
$pid = $std->my_getcookie(’pass_hash’);
在此，my_cookie()函数使用下列语句从cookie中检索要求的变量：
return urldecode($_COOKIE[$ibforums->vars[’cookie_id’].$name]);
【注意】从该cookie返回的值根本没有被处理。尽管$mid在使用于查询之前被强制转换成一个整数，但是$pid却保持不变。因此，它很容易遭受我们前面所讨论的注入类型的攻击。
因此，通过以如下方式修改my_cookie()函数，这种脆弱性就会暴露出来：
if ( ! in_array( $name，array(’topicsread’， ’forum_read’，’collapseprefs’) ) )
{
return $this->
clean_value(urldecode($_COOKIE[$ibforums->vars[’cookie_id’].$name]));
else
{
return urldecode($_COOKIE[$ibforums->vars[’cookie_id’].$name]);
}
经过这样的改正之后，其中的关键变量在"通过"全局clean_value()函数后被返回，而其它变量却未进行检查。
现 在，既然我们大致了解了什么是SQL注入，它的注入原理以及这种注入的脆弱程度，那么接下来，让我们探讨如何有效地预防它。幸好，PHP为我们提供了丰富 的资源，因此我们有充分的信心预言，一个经仔细地彻底地使用我们所推荐的技术构建的应用程序将会从你的脚本中根本上消除任何可能性的SQL注入-通过在它 可能造成任何损坏之前"清理"你的用户的数据来实现。
四、 界定你的查询中的每一个值
我们推荐，你确保界定了你的查询中的每一个值。字符串值首当其冲，以及那些你通常期望应该使用"单"(而不是"双")引号的内容。一方面，如果你使用双引 号来允许PHP在字符串内的变量替代，这样可以使得输入查询更为容易些；另一方面，这(无可否认，只是极少量地)也会减少以后PHP代码的分析工作。
下面，让我们使用我们一开始使用的那个非注入式查询来说明这个问题：
SELECT * FROM wines WHERE variety = ’lagrein’
或以PHP语句表达为：
$query = "SELECT * FROM wines WHERE variety = ’$variety’";
从技术上讲，引号对于数字值来说是不需要使用的。但是，如果你并不介意用引号把例如葡萄酒这样的一个域相应的一个值括起来并且如果你的用户把一个空值输入到你的表单中的话，那么，你会看到一个类似下面的查询：
SELECT * FROM wines WHERE vintage =
当然，这个查询从语法上讲是无效的；但是，下面的语法却是有效的：
SELECT * FROM wines WHERE vintage = ’’
第二个查询将(大概)不会返回任何果，但是至少它不会返回一个错误消息。
五、 检查用户提交的值的类型
从前面的讨论中我们看到，迄今为止，SQL注入的主要来源往往出在一个意料之外的表单入口上。然而，当你经由一个表单向用户提供机会提交某些值时，你应该有相当的优势来确
定 你想取得什么样的输入内容-这可以使得我们比较容易地检查用户入口的有效性。在以前的文章中，我们已经讨论过这样的校验问题；所以，在此，我们仅简单地总 结当时我们讨论的要点。如果你正在期望一个数字，那么你可以使用下面这些技术之一来确保你得到的真正是一个数字类型：
�6�1 使用is_int()函数(或is_integer()或is_long())。
�6�1 使用gettype()函数。
�6�1 使用intval()函数。
�6�1 使用settype()函数。
为 了检查用户输入内容的长度，你可以使用strlen()函数。为了检查一个期望的时间或日期是否有效，你可以使用strtotime()函数。它几乎一定 能够确保一位用户的入口中没有包含分号字符(除非标点符号可以被合法地包括在内)。你可以借助于strpos()函数容易地实现这一点，如下所示：if( strpos( $variety， ’;’ ) ) exit ( "$variety is an invalid value for variety!" );
正如我们在前面所提到的，只要你仔细分析你的用户输入期望，那么，你应该能够很容易地检查出其中存在的许多问题。
六、 从你的查询中滤去每一个可疑字符
尽管在以前的文章中，我们已经讨论过如何过滤掉危险字符的问题；但是在此，还是让我们再次简单地强调并归纳一下这个问题：
�6�1 不要使用magic_quotes_gpc指令或它的"幕后搭挡"-addslashes()函数，此函数在应用程序开发中是被限制使用的，并且此函数还要求使用额外的步骤-使用stripslashes()函数。
�6�1 相比之下，mysql_real_escape_string()函数更为常用，但是也有它自己的缺点。
⑨ 为什么大型网站前端使用 PHP 后台逻辑用 Java
最近纠结了一下，如果开发一个大型的网站，我到底应该使用php还是jsp，后台到底使用php还是用java，我的选择要么是php要么是java，因为我喜欢linux、unix，当然window平台也必须支持，以便哦的妹纸可以查看。这就要求用一些跨平台相当好的软件+工具+语言，所以选择只能是这么几个。最后我的决定是php+java，一个前台一个后台，理由如下： php和java在开源社区的活跃度严重超过了其他的语言，使用人数也都是相当之多；活跃的开发工程师们能够给我帮助，且这俩都能很好的跨平台，不用花费大量的人力物力去维护 我也做过一个物联网的网关网站，比较复杂，当时采用的是jsp+java，复杂程度可想而知，单单说开发过程，网站部分繁琐，每次想查看结果运行网站的时候还需要重新打包部署一下，严重影响了哦的开发效率，每天的时间都是在等待（因为网站比较复杂，打包部署需要浪费一些时间）。相对来说呢，php就没有了，php灵活，好学，上手快，容易修改，容易发布，关键是热部署，这个真让哦眼睛大亮。当然看待任何事物都需要两种眼光，php也会有缺点，比如没有太好的开发IDE，所以拼写错误很正常，且php的sql注入危险较大点，执行效率不高，安全性不如java。还有一些理由，来自知乎的米米们给的建议： Java的优点则是稳定可靠、运行效率高（尤其是JIT的出现之后差距更大了）、不容易犯错（强类型、预编译、必须拦截异常等等），缺点是开发和发布的效率相对较低。尽管优秀的工程师能在一定程度上改变以上的问题，但通常而言，哪能到处都是高手多如狗的梦之队？ 从MVC的层次结构上说，在一般网站项目的开发周期中，需求变更最频繁、调整最多的是View，其次是Controller，最后是Model。这非常好理解，没事干谁天天改数据结构？每次版本升级控制结构都要改的啦，或多或少而已。再次是两者之间的通信，目前RPC技术已经足够成熟，无论是Web Service/Hessian/RESTful API都能够让开发人员专注在功能开发上，而不需要过多的考虑异构平台的差异和通讯的细节。这也就意味着在大公司里同时应用两种语言的方案并不会引入过多的复杂度和工作量。当然，文档量的下限倒是因此被拔高了不少，但事实上大部分团队对此其实都是喜闻乐见的：别每天说文档重要但没空了，你不写其他同事怎么配合？ 靠近用户的前端，使用PHP能够更快的完成前端频繁而琐碎的更新，自如的应对各种需求的变化。页面的结构调整、用户输入内容的基本验证、仅只和用户交互有关的简单逻辑等都很适合使用PHP来开发，甚至可以通过类似Smarty等模板技术将其页面的变动迁移到前端团队。而基本的业务逻辑和数据的更新采用Java开发，可以有效的提高复用度、提升性能和吞吐能力、规避安全问题等。而开发效率稍有降低换来的是可维护性的提升，发布速度慢就更不是问题了，因为通常对于基础业务逻辑的调整往往都是整体修改，并层层测试确认才能发布的。 所以，大型网站前端采用PHP后端采用Java，既好招人又好维护、系统稳定还性能高、连安全性都大大增加。代码复用、文档完备度居然也都改善了。让你在以上这些好处触手可及时，对架构师知识谱系在广度上要求更高一些这事根本就不是个问题。 单一方案其实一样可以做良好的隔离，PHP同样可以提供Service，而性能问题其实很多时候是算法和架构的问题而不是语言差异的问题。如Velocity或JSTL等也是很优秀的隔离方案。 但这些方案在高压力下会暴露出很多问题而体现双语言的优势，这些在上面其实都提到，详细说明一些很难得到改变的点： 1. PHP由于其动态脚本语言的特性，包括类、函数、常量在内都需要在每次请求周期中重复执行后才能建立运行环境；为了保证解析速度而牺牲编译质量；应用了FastCGI但仅仅只是复用进程处理请求减少fork成本而不是像其他语言，初始化完毕后通过FastCGI的接口获得数据并以对应接口返回数据等几个原因，基本上已经不可能在性能上追回当初更烂现在开着JIT牌跑车的Java了。 2. 在PHP里是如此的容易犯错而难以发现，即使你用实质上出自官方的Zend Studio，也无法改变一个事实：要保证你的程序高质量无大错，得要有充足的经验、足够的严谨、以及——负责任的QA。淘宝的黄裳就曾经拿IDE这事开过玩笑。而玩笑背后的那个原因“缺乏中间件”最近几年有不少的改善，主要是不少中间件的支持变得更广泛了从而让PHP得益，但发展的根源其实还是在C和Java社区。性能和易犯错则是语言特性造成的技术难点，也是用来换取灵活、快捷的必要代价，很难去指望有根本的改善。 3. Java的世界里也有JSTL、Velocity和Freemaker等，但和PHP灵活而强大的动态能力、丰富的函数和类库、轻松的学习成本、多到令人发指的文档相比，简直就是渣，就是渣啊！JSTL改完了要重启Context啊有木有？Velocity不关缓存也要重启啊有木有？Velocity开缓存性能低下啊有木有？即使这些都不管，调整下某个数据校验规则要改Action也要重启有木有？ 实际工作中性能问题可以通过良好的架构解决，容易犯错的问题可以通过框架和规范以及全面的测试来解决，中间件选择少些但其实该有的都有了，Java的灵活性一样有不少可供考虑的解决方案哪怕是挫得要死的摘掉节点重启，完成后重新上节点的策略。 所以，大家会看到单一语言的技术团队也很多，这个问题的真正考虑还是更多在团队自身的特点、积累等等。用了双语言的，也知道自己为什么要用这些，不用的也清楚自己的路该怎么走。最后的最后说一句：如果你不知道自己为什么要用双语言方案的话，基本上你也就不需要考虑它了。从知乎上整理得到上文 我的Email：[email protected]
⑩ 为什么 PHP 应该使用 PDO 方式访问数据库
很多程序员都学习过如何使用 MySQL 或 MySQLi 扩展访问数据库。在 PHP 5.1 中，有一个更好的方法。PHP Data Objects(PDO) 提供了很多预处理语句的方法，且使用对象将使你的工作更有成效！
PDO 介绍
“PDO – PHP Data Objects – 是一个对多种数据库提供统一操作方法的数据库访问层。”
它并不具备数据库特有的语法，但它将使切换数据库和平台更加容易，多数情况下，只需要简单修改链接字符串。
这并非一篇完整教导如何使用SQL的教程。它重要为那些现今仍在使用 mysql 或 mysqli 扩展的人，帮助他们跃至更具可移植性和强力的 PDO。
数据库支持
此扩展可以使用 PDO 驱动编写过的所有数据库。在本文书写时，下面的数据库支持已经实现：
PDO_DBLIB ( FreeTDS / Microsoft SQL Server / Sybase )
PDO_FIREBIRD ( Firebird/Interbase 6 )
PDO_IBM ( IBM DB2 )
PDO_INFORMIX ( IBM Informix Dynamic Server )
PDO_MYSQL ( MySQL 3.x/4.x/5.x )
PDO_OCI ( Oracle Call Interface )
PDO_ODBC ( ODBC v3 (IBM DB2, unixODBC and win32 ODBC) )
PDO_PGSQL ( PostgreSQL )
PDO_SQLITE ( SQLite 3 and SQLite 2 )
PDO_4D ( 4D )
你的系统不会也不必支持所有上面的驱动；下面是一个快速检查所支持数据库的方法：
1 print_r(PDO::getAvailableDrivers());
连接
不同数据库的连接方法可能稍有不同，下面是一些较为流行的数据库连接方法。你将注意到，虽然数据库类型不同，前三种数据库的连接方式是相同的——而 SQLite 使用自己的语法。
Connection String
01 try {
02 # MS SQL Server andSybase with PDO_DBLIB
03 $DBH = newPDO("mssql:host=$host;dbname=$dbname, $user, $pass");
04 $DBH = newPDO("sybase:host=$host;dbname=$dbname, $user, $pass");
05
06 # MySQL with PDO_MYSQL
07 $DBH = newPDO("mysql:host=$host;dbname=$dbname", $user, $pass);
08
09 # SQLite Database
10 $DBH = newPDO("sqlite:my/database/path/database.db");
11 }
12 catch(PDOException $e) {
13 echo$e->getMessage();
14 }
注意 try/catch 块——你应该总是使用 try/catch 包装你的 PDO 操作，并使用异常机制——这里只是简单的示例。通常，你只需要一个连接——有很多可以教你语法的列表。 $DBH 代表“数据库句柄”，这将贯穿全文。
通过将句柄设置为 NULL，你可以关闭任一连接。
1 # close the connection
2 $DBH = null;
你可以在PHP.net找到更多数据库特定选项和/或其它数据库连接字符串的信息。
异常与 PDO
PDO 可以使用异常处理错误，这意味着你的所有 PDO 操作都应当包装在一个 try/catch 块中。你可以通过设定错误模式属性强制 PDO 在新建的句柄中使用三种错误模式中的某一个。下面是语法：
1 $DBH->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_SILENT );
2 $DBH->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_WARNING );
3 $DBH->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION );
无论你设定哪个错误模式，一个错误的连接总会产生一个异常，因此创建连接应该总是包装在 try/catch 块中。
PDO::ERRMODE_SILENT
这是默认的错误模式。如果你使用这个模式，你将得使用同 mysql 或 mysqli 扩展一样的方法差错。其它两种模式更适合 DRY 编程。
PDO::ERRMODE_WARNING
此方法将会发出一个标准PHP警告，并允许程序继续运行。这对调试很有帮助。
PDO::ERRMODE_EXCEPTION
这是多数情况下你所希望的方式。它生成异常，允许你更容易的处理错误，隐藏可能导致它人了解你系统的信息。下面是一个充分利用异常的示例：
01 # connect to the database
02 try {
03 $DBH = newPDO("mysql:host=$host;dbname=$dbname", $user, $pass);
04 $DBH->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION );
05
06 # UH-OH! Typed DELECT instead of SELECT!
07 $DBH->prepare('DELECT name FROM people');
08 }
09 catch(PDOException $e) {
10 echo"I'm sorry, Dave. I'm afraid I can't do that.";
11 file_put_contents('PDOErrors.txt', $e->getMessage(), FILE_APPEND);
12 }
在 select 语句中有一个故意留下的错误；这将导致一个异常。异常错误细节保存至一个 log 文件，并生成一段友好的（或不怎么友好的）信息于用户。
插入和更新
插入新数据，更新已存数据是一种非常常见的数据库操作。使用 PDO，这通常需要两个步骤。本节中所述的所有内容对更新和插入都有效。
这里有一个最基本的插入示例：
1 # STH means "Statement Handle"
2 $STH = $DBH->prepare("INSERT INTO folks ( first_name ) values ( 'Cathy' )");
3 $STH->execute();
你也可以使用 exec() 完成相同的操作，这将减少调用。多数情况下，你会使用调用多的方法，以充分利用语句预处理的优势。即使你只用它一次，使用语句预处理，帮助你保护你的 SQL 免于注入攻击。
预处理语句
使用语句预处理将帮助你免于SQL注入攻击。
一条预处理语句是一条预编译的 SQL 语句，它可以使用多次，每次只需将数据传至服务器。其额外优势在于可以对使用占位符的数据进行安全处理，防止SQL注入攻击。
你通过在 SQL 语句中使用占位符的方法使用预处理语句。下面是三个例子：一个没有占位符，一个使用无名占位符，一个使用命名占位符。
1 # no placeholders - ripe for SQL Injection!
2 $STH = $DBH->("INSERT INTO folks (name, addr, city) values ($name, $addr, $city)");
3
4 # unnamed placeholders
5 $STH = $DBH->("INSERT INTO folks (name, addr, city) values (?, ?, ?);
6
7 # named placeholders
8 $STH = $DBH->("INSERT INTO folks (name, addr, city) value (:name, :addr, :city)");
你希望避免第一种方法。选择命名我无名占位符将会对你对语句中数据的设置产生影响。
无名占位符
01 # assign variables to each place holder, indexed 1-3
02 $STH->bindParam(1, $name);
03 $STH->bindParam(2, $addr);
04 $STH->bindParam(3, $city);
05
06 # insert one row
07 $name = "Daniel"
08 $addr = "1 Wicked Way";
09 $city = "Arlington Heights";
10 $STH->execute();
11
12 # insert another row with different values
13 $name = "Steve"
14 $addr = "5 Circle Drive";
15 $city = "Schaumburg";
16 $STH->execute();
这里有两步。首先，我们对各个占位符指定变量（2-4行）。然后，我们对各个占位符指定数据，并执行语句。要发送另一组数据，只需改变这些变量的值并再次执行语句。
这种方法看上去对拥有很多参数的语句很笨拙吧？的确。然而，当数据保存于数组中时，这非常容易简略：
1 # the data we want to insert
2 $data = array('Cathy', '9 Dark and Twisty Road', 'Cardiff');
3
4 $STH = $DBH->("INSERT INTO folks (name, addr, city) values (?, ?, ?);
5 $STH->execute($data);
容易吧！
数组中的数据按顺序填入占位符中。 $data[0]是第一个，$data[1]是第二个，依次。不过，要是数组中数据的次序不正确，这将不能正常运行，你需要先对数组排序。
命名占位符
你可能已经开始猜测语法了，不过下面就是示例：
1 # the first argument is the named placeholder name - notice named
2 # placeholders always start with a colon.
3 $STH->bindParam(':name', $name);
你可以看使用快捷方式，但它需使用关联数组。下面是示例：
1 # the data we want to insert
2 $data = array( 'name' => 'Cathy', 'addr' => '9 Dark and Twisty', 'city' => 'Cardiff' );
3
4 # the shortcut!
5 $STH = $DBH->("INSERT INTO folks (name, addr, city) value (:name, :addr, :city)");
6 $STH->execute($data);
数组中的键不需要以冒号开头，但其它部分需要同占位符匹配。如果你有一个二维数组，你只需遍历它，并对遍历的每个数组执行语句。
命名占位符的另一个好的功能是直接将对象插入到你的数据库中，只要属性同命名字段匹配。下面是一个示例对象，以及如何将它插入到数据库中的示例：
01 # a simple object
02 class person {
03 public $name;
04 public $addr;
05 public $city;
06
07 function __construct($n,$a,$c) {
08 $this->name = $n;
09 $this->addr = $a;
10 $this->city = $c;
11 }
12 # etc ...
13 }
14
15 $cathy = new person('Cathy','9 Dark and Twisty','Cardiff');
16
17 # here's the fun part:
18 $STH = $DBH->("INSERT INTO folks (name, addr, city) value (:name, :addr, :city)");
19 $STH->execute((array)$cathy);
通过在执行时将对象转换为数组，输将将会同数组的键一样对待。