防止sql注入不但是新學的程序員朋友需要深入了解的一個重要知識點之外,還是我們這些寫了多年程序的朋友也必須注意的東西,下面給新手介紹php 防止查詢的sql攻擊的一些例子,希望對各位會有所幫助.

一個入門級別的例子,代碼如下:

1. $k = $_REQUEST['k']; 
2.  
3. $k = addslashes($k);//轉義:單引號，雙引號，反斜線，NULL 
4.  
5. $k = str_replace('%', '＼%', $k); 
6.  
7. $k = str_replace('_', '＼_', $k); 
8.  
9. $sql = "select * from users where name like '%$k%'"; 
10.  
11. if(!emptyempty($k)){ 
12.  
13. $res = mysql_query($sql, $con) or die(mysql_error()); 
14.  
15. if($row = mysql_fetch_assoc($res)){ 
16.  
17. foreach($row as $k=>$v){ 
18.  
19. echo $row[$k].':'.$row[$v].'<br />'; 
20.  
21. } 
22.  
23. } 
24. //開源代碼Vevb.com 
25. }else{ 
26.  
27. echo '******'; 
28.  
29. } 

補充:mysql_real_escape_string();所以得SQL語句如果有類似這樣的寫法：

"select * from cdr where src =".$userId; 都要改成 $userId=mysql_real_escape_string($userId) 

例子代碼如下:

1. <?php 
2.  
3. $clean = array(); 
4. $mysql = array(); 
5.  
6. $clean['last_name'] = "O'Reilly"; 
7. $mysql['last_name'] = mysql_real_escape_string($clean['last_name']); 
8.  
9. $sql = "INSERT 
10.       INTO   user (last_name) 
11.       VALUES ('{$mysql['last_name']}')"; 
12.  
13. ?> 

所有有打印的語句如echo，print等,在打印前都要使用htmlentities() 進行過濾,這樣可以防止Xss,注意中文要寫出,代碼如下:

htmlentities($name,ENT_NOQUOTES,GB2312).