Question

I m 开发一种PHP功能,从网络形式处理提交材料。

Allowed characters are strictly alphanumeric, a-b, 0-9.

在处理和输入数据库之前,是否安全地依靠预先选择的定期表述来清理这些数据。

我认为,从一开始便可以减少任何与甲型六氯环己烷/[^a-zA-Zs-0-9.,]相对而言的。

我在这里的正确轨道?

Answer 1

如果你只允许将甲型数字特性储存在你的数据库中,而不是排除无效特性,那么你就能够更好地将错误退回到用户,因为后者提供了无效的投入。这样,如果用户看到其数据以不同于其原始数据的形式向用户展示,那么他们就会感到迷惑。

换言之,用<代码>preg_match()验证输入,以确保其符合您的要求,如果没有,则将错误退回用户,以便予以确定。然后从数据库中删除,或使用准备的报表。

if (!preg_match( /^[a-z0-9., ]$/i , $input)) {
   // error Invalid input. Please use only letters and numbers
}
else {
   // call escape function on $input or insert it with a prepared statement
   // whatever is the appropriate method for your RDBMS api.
}

友情链接