在检查提交之前PHP转义

Question

在PHP中，在检查表单提交是否为空之前，是否需要转义表单提交？

也就是说，像empty($_POST['email'])这样的东西是否容易受到代码注入的影响？

Answer 1

OWASP站点(Injection)将代码注入定义为

代码注入是攻击类型的通用术语，它由注入代码组成，然后由应用程序解释/执行。

PHP空函数确定变量是否为空。因为它没有真正执行代码，所以它是安全的。

空谈之后你会怎么做？例如，如果您计划使用$_POST‘’email‘作为SQL查询的一部分，或者在外部shell命令中使用它，或者在HTML输出中使用它，则需要相应地转义它。根据使用情况，有转义函数。对于SQL注入，PHP提供mysql_real_escape_string。对于shell命令，请转义command和转义command。对于HTML输出，为了避免XSS攻击，PHP实体。