php 防Sql注入函数的简单示例

传入用户提交的参数时使用这段代码提供的函数先对参数进行处理，然后传入sql语句，
用： mysqlquery("INSERT INTO table VALUES('" . sqlsanitize($_POST["variable") . "')");替代： mysqlquery("INSERT INTO table VALUES('" . $POST["variable"] . "'");
感兴趣的小伙伴，下面一起跟随脚本之家 jb51.cc的小编来看看吧。
经测试代码如下：

/**
 * 防止SQL注入的SQL代码。
 *
 * @param 
 * @arrange (512.笔记) jb51.cc
 * 示例：mysql_query（'UPDATE table SET value =＆quot;'。sql_sanitize（＆quot;'SET id ='4'＆quot;）。'＆quot; WHERE id =＆quot; 1＆quot;'）;
 * 要求：PHP 4或更高版本
 **/
function sql_sanitize( $sCode ) {
 if ( function_exists( "mysql_real_escape_string" ) ) {  // If PHP version > 4.3.0
  $sCode = mysql_real_escape_string( $sCode );  // Escape the MySQL string.
 } else { // If PHP version < 4.3.0
  $sCode = addslashes( $sCode );    // Precede sensitive characters with a backslash 
 }
 return $sCode;       // Return the sanitized code
}


/***   代码来自脚本之家 jb51.cc（jb51.cc）   ***/

（编辑：安卓应用网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!