逃避数据JS->PHP->MySQL的最佳方法，反之亦然

Question

为了下列目的，我必须使用哪些函数来编码/解码/转义/stripslash数据？

1. 从JS调用PHP脚本时，比如：page.php?data=don't_use_#_and_%_in_URL_params
2. 当PHP脚本从JS接收参数时，例如：don%27t_use_%23_and_%25_in_URL_params
3. 使用先前从JS接收的数据运行MySQL查询以防止MySQL注入(假设我需要在数据库中插入以下字符序列："``')
4. 当我需要在MySQL语句中比较包含"``'序列和表达式的字段值时
5. 当我需要从MySQL表中检索字段值时，该字段包含"``'，并且我希望在PHP ()宏替换中使用它
6. 当我必须在AJAX响应中将数据从PHP发送到JS时，它包含"``'字符
7. 最后，我必须在JS中使用eval()以前的响应。

如下图所示：

MySQL(编码？)->(解码)MySQL(编码)->(解码)JS

如果有人有时间和愉快地回答，或者如果我在这里犯了什么错误，请纠正我，谢谢。

Answer 1

1. encodeURIComponent
2. $_GET
3. PDO界参数
4. 数据库中的PDO界参数。否则，它只是PHP中的一个字符串
5. 不知道。你真的应该为你的每一个问题问一个问题。不过，eval闻起来很难闻。
6. 选择一种数据格式并为此使用适当的编码。JSON是常见的。
7. 您应该接近eval()的唯一一次是JS，当您在没有原生版本的浏览器中实现对json的支持时(您可以使用克罗克福德的json2.js )。所以别这样。

Answer 2

1. 逃逸()
2. 不需要采取行动。3-4。数据源在这里并不重要。构建查询有一些常见的规则，我相信您已经知道了。如果没有-请参考这个完整的解释。
3. 从来不做。这是你申请的一个摩天大楼大小的洞。你没看到吗？
4. json_encode()
5. 伊瓦尔？真的吗？为什么不在JS中已经存在所有代码的时候才发送数据呢？