html_entities与strip_tags的mysql_real_escape_string之争

Question

我有一个关于mysql_real_escape_string. Strip_tags html_entities的问题

现在，当我使用例如：

strip_tags(mysql_real_escape_string($_POST['username']));

上面的代码将是安全的，并且如下：

html_entities($_POST['username']);

对于现实世界的项目来说哪一个更安全。

同时使用mysql_real_escape_string和strip_tags的好处是什么？但是当我和他们一起使用html_entities时，它就不能工作了

Answer 1

一开始你必须明确目标。不会到处逃亡的。

htmlspecialchars或htmlentities

目的

将用户输入显示为。

示例

<div><?php echo htmlspecialchars($_POST['data'], ENT_QUOTES, 'UTF-8') ?></div>

备注

当您正要显示这个函数时，请使用它。不要事先应用它来存储变量。

这个变量已经逃过了.？

..。你可能会麻烦你自己。

strip_tags

不要使用此函数。消毒是个错误的方法。

mysql_real_escape_string

目的

在SQL中设置用户输入。

示例

<?php
$sql = sprintf(
    "SELECT * FROM table WHERE name = '%s' AND address = '%s'",
    mysql_real_escape_string($_POST['name'], $link),
    mysql_real_escape_string($_POST['address'], $link)
);

备注

mysql_*函数都是不推荐的。你最好用PDO。Placeholders，为我们提供了准备的语句和，而不是转义。

PHP手册-PDO：：准备