discuz的php防止sql注入函数

2015-01-24信息快讯网

最早开始学习php的时候根本没考虑过安全方面的问题,那时候就是想能做出功能就是万岁了。随着做项目的时间慢慢加长,越来越感觉到网站安全方面的问题十分重要。

最近在做一个主题投票网站,客户懂一些程序方面的东西。有特别要求需要过滤一些字符防止sql注入。本来这方面就没有特别的研究过。呵呵,又发扬了一回拿来主义。把discuz论坛的sql防注入函数取了来!
 
$magic_quotes_gpc = get_magic_quotes_gpc(); 
@extract(daddslashes($_COOKIE)); 
@extract(daddslashes($_POST)); 
@extract(daddslashes($_GET)); 
if(!$magic_quotes_gpc) { 
$_FILES = daddslashes($_FILES); 
} 


function daddslashes($string, $force = 0) { 
if(!$GLOBALS['magic_quotes_gpc'] || $force) { 
if(is_array($string)) { 
foreach($string as $key => $val) { 
$string[$key] = daddslashes($val, $force); 
} 
} else { 
$string = addslashes($string); 
} 
} 
return $string; 
} 

大家可以增强下面的代码加以保护服务器的安全,PHP防止SQL注入安全函数十分重要!
 
/* 
函数名称:inject_check() 
函数作用:检测提交的值是不是含有SQL注射的字符,防止注射,保护服务器安全 
参  数:$sql_str: 提交的变量 
返 回 值:返回检测结果,ture or false 
*/ 
function inject_check($sql_str) { 
return eregi('select|insert|and|or|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile', $sql_str); // 进行过滤 
} 

/* 
函数名称:verify_id() 
函数作用:校验提交的ID类值是否合法 
参  数:$id: 提交的ID值 
返 回 值:返回处理后的ID 
*/ 
function verify_id($id=null) { 
if (!$id) { exit('没有提交参数!'); } // 是否为空判断 
elseif (inject_check($id)) { exit('提交的参数非法!'); } // 注射判断 
elseif (!is_numeric($id)) { exit('提交的参数非法!'); } // 数字判断 
$id = intval($id); // 整型化 

return $id; 
} 

/* 
函数名称:str_check() 
函数作用:对提交的字符串进行过滤 
参  数:$var: 要处理的字符串 
返 回 值:返回过滤后的字符串 
*/ 
function str_check( $str ) { 
if (!get_magic_quotes_gpc()) { // 判断magic_quotes_gpc是否打开 
$str = addslashes($str); // 进行过滤 
} 
$str = str_replace("_", "\_", $str); // 把 '_'过滤掉 
$str = str_replace("%", "\%", $str); // 把 '%'过滤掉 

return $str; 
} 

/* 
函数名称:post_check() 
函数作用:对提交的编辑内容进行处理 
参  数:$post: 要提交的内容 
返 回 值:$post: 返回过滤后的内容 
*/ 
function post_check($post) { 
if (!get_magic_quotes_gpc()) { // 判断magic_quotes_gpc是否为打开 
$post = addslashes($post); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤 
} 
$post = str_replace("_", "\_", $post); // 把 '_'过滤掉 
$post = str_replace("%", "\%", $post); // 把 '%'过滤掉 
$post = nl2br($post); // 回车转换 
$post = htmlspecialchars($post); // html标记转换 

return $post; 
} 

PHP number_format() 函数定义和用法
检查php文件中是否含有bom的函数
php替换超长文本中的特殊字符的函数代码
php的array_multisort()使用方法介绍
PHP 杂谈《重构-改善既有代码的设计》之五 简化函数调用
PHP file_exists问题杂谈
apache mysql php 源码编译使用方法
几个有用的php字符串过滤,转换函数代码
iis下php mail函数的sendmail配置方法(官方推荐)
php入门之连接mysql数据库的一个类
php和mysql中uft-8中文编码乱码的几种解决办法
redis 队列操作的例子(php)
比较好用的PHP防注入漏洞过滤函数代码
MySQL的FIND_IN_SET函数使用方法分享
PHP代码网站如何防范SQL注入漏洞攻击建议分享
一些需要禁用的PHP危险函数(disable_functions)
PHP中全面阻止SQL注入式攻击分析小结
PHP的SQL注入过程分析
PHP 小心urldecode引发的SQL注入漏洞
兼容性最强的PHP生成缩略图的函数代码(修改版)
PHP统计目录下的文件总数及代码行数(去除注释及空行)
php短域名转换为实际域名函数
php下连接mssql2005的代码
Php Image Resize图片大小调整的函数代码
PHP校验ISBN码的函数代码
PHP目录函数实现创建、读取目录教程实例
php的日期处理函数及uchome的function_coomon中日期处理函数的研究
php !function_exists("T7FC56270E7A70FA81A5935B72EACBE29"))代码解密
PHP备份/还原MySQL数据库的代码
Discuz Uchome ajaxpost小技巧
array_multisort实现PHP多维数组排序示例讲解
php关于array_multisort多维数组排序的使用说明
PHP 设置MySQL连接字符集的方法
PHP+SQL 注入攻击的技术实现以及预防办法
解决PHP在DOS命令行下却无法链接MySQL的技术笔记
PHP中防止SQL注入攻击和XSS攻击的两个简单方法
通俗易懂的php防注入代码
PHP+MySQL 手工注入语句大全 推荐
©2014-2024 dbsqp.com