防止日期时间字符串输入上的sql注入

Question

我从一个JS脚本中接收到一个字符串，该字符串应该按照datetime格式格式化，如下所示：2013-07-29 : 00:00:00。

当然，在将输入放入原始MySQL查询之前，我需要对其进行清理。在php上净化这种格式的最佳方法是什么？

Answer 1

“最好”是使用准备好的语句，让DB适配器为您转义值中的特殊字符。

不管你的口味如何，在这个问题上都不重要：

• http://php.net/manual/en/mysqli.prepare.php
• http://php.net/manual/en/pdo.prepare.php

正如knittl所建议的，关于规范答案，请参见如何防止PHP中的SQL注入？。

Answer 2

最好使用PDO。

否则，如果您使用的是不推荐的mysql_*函数，则需要mysql_real_escape_string()。

Answer 3

您可以使用正则表达式测试输入格式。

插入DB的最佳方法是PDO。