如何用PHP4防止$_POST电子邮件字段注入

Question

如果我能够使用PHP5，这将会更容易一些，不幸的是，这不是一个可行的选择？

我已经在使用this stackoverflow thread的RFC2822来验证电子邮件格式是否有效，虽然这是在表单页面上使用JS，但这不是最佳实践。

在保存之前，我将再次验证它是否符合此格式，但我想知道是否有任何方法可以帮助防止SQL注入？

Answer 1

错误的方式--“永远不要相信用户的输入”！

首先确保数据是您想要的格式，然后查询数据库。因此，首先，检查$_POSTemail_address是否为有效的电子邮件格式，例如使用正则表达式。只有当它是有效的电子邮件格式时，您才会查询数据库。

电子邮件正则表达式(PHP)的代码：

<?php
$email = "test@test.com";

if(eregi("^[_a-z0-9-]+(\.[_a-z0-9-]+)*@[a-z0-9-]+(\.[a-z0-9-]+)*(\.[a-z]{2,3})$", $email)) {
  echo "Email is valid.";
}
else {

  echo "Email in invalid.";
}
?>

Answer 2

在输入上使用mysql_real_escape_string()在你验证了这是一封电子邮件之后，你真的应该在所有要进入数据库的输入上使用这个函数。