這兩天用360網站安全檢測網站，檢測出SQL注入漏洞和XSS跨站攻擊指令碼N多項bug，然後上網找各種資料，把大部分的資料都看了一遍，最後自己總結了如下程式碼：

a、防止SQL注入程式碼：

//防止SQL注入 hxm_20140701  只對字串有效
function clean_SQLinject($string){
	if(!get_magic_quotes_gpc()){
		$string = mysql_real_escape_string($string);
		$string = addslashes($string);
	}
	$string = str_replace("_","\_",$string);
	$string = str_replace("%","\%",$string);
	return $string;
}
 

b、防止XSS跨站攻擊程式碼：

//防止xss跨站攻擊 hxm_20140701  陣列或字串都有效
function clean_xss(&$string){
	if(!is_array($string)){
		$string = trim($string);
		$string = strip_tags($string);
		$string = htmlspecialchars($string);
		$string = str_replace (array ('"', "\\", "'", "/", "..", "../", "./", "//" ), '', $string);
		$no = '/%0[0-8bcef]/';
		$string = preg_replace ($no, '', $string);
		$no = '/%1[0-9a-f]/';
		$string = preg_replace ($no, '', $string);
		$no = '/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]+/S';
		$string = preg_replace ($no, '', $string);
		return True;
	}

	$keys = array_keys($string);
	foreach($keys as $key){
		clean_xss($string[$key]);
	}
}
 

c、後來改檔案時候很多地方的查詢語句的where條件用到了大量post或get過來的引數，一個一個過濾閒太麻煩，所以發明瞭如下函式：

d、對傳過來的post和get引數組直接過濾，包含過濾SQL注入和XSS攻擊：

//對傳過來的整個post陣列進行SQL注入和XSS過濾   hxm_20140701
function clean_post($post) {  
  if(!get_magic_quotes_gpc()){    // 判斷magic_quotes_gpc是否為開啟  
    $post = addslashes($post);    // 進行magic_quotes_gpc沒有開啟的情況對提交資料的過濾  
  }  
  $post = str_replace("_", "\_", $post);    // 把 '_'過濾掉  
  $post = str_replace("%", "\%", $post);    // 把 '%'過濾掉  
  $post = nl2br($post);    // 回車轉換  
  $post = htmlspecialchars($post);    // html標記轉換 防止xss 
 
  return $post;  
}
 

備註(關於XSS)：

1、php防止XSS跨站指令碼攻擊的方法:是針對非法的HTML程式碼包括單雙引號等，使用htmlspecialchars()函式 。

2、在使用htmlspecialchars()函式的時候注意第二個引數, 直接用htmlspecialchars($string) 的話,第二個引數預設是ENT_COMPAT,函式預設只是轉化雙引號(“), 不對單引號(‘)做轉義.

3、所以,htmlspecialchars函式更多的時候要加上第二個引數, 應該這樣用: htmlspecialchars($string,ENT_QUOTES).當然,如果需要不轉化引號,用htmlspecialchars($string,ENT_NOQUOTES).

4、另外, 儘量少用htmlentities, 在全部英文的時候htmlentities和htmlspecialchars沒有區別,都可以達到目的.但是,中文情況下, htmlentities卻會轉化所有的html程式碼，連同裡面的它無法識別的中文字元也給轉化了。

5、htmlentities和htmlspecialchars這兩個函式對 '之類的字串支援不好,都不能轉化, 所以用htmlentities和htmlspecialchars轉化的字串只能防止XSS攻擊,不能防止SQL注入攻擊.