以前讲述的很多关于sql防注入的代码，但是还是得从我们的服务器脚本开始了，下面就来讲述一个下php中防注入的一些常见方法大家可参考。
最常用见的可能就是
首先将magic_quotes_gpc设置为on，display_errors设置为off，如果id型，我们利用intval()将其转换成整数类型，如代码：
$id=intval($id);
好了下面我来介绍php提交数据过滤的基本原则 
1）提交变量进数据库时，我们必须使用addslashes()进行过滤，像我们的注入问题，一个addslashes()也就搞定了。其实在涉及到变量取值时，intval()函数对字符串的过滤也是个不错的选择。
2）在php.ini中开启magic_quotes_gpc和magic_quotes_runtime。magic_quotes_gpc可以把get,post,cookie里的引号变为斜杠。magic_quotes_runtime对于进出数据库的数据可以起到格式话的作用。其实，早在以前注入很疯狂时，这个参数就很流行了。
3）在使用系统函数时，必须使用escapeshellarg(),escapeshellcmd()参数去过滤，这样你也就可以放心的使用系统函数。
4）对于跨站，strip_tags(),htmlspecialchars()两个参数都不错，对于用户提交的的带有html和php的标记都将进行转换。比如尖括号
 代码如下 复制代码
$new = htmlspecialchars(test, ent_quotes);
strip_tags($text,);
5）对于相关函数的过滤，就像先前的include(),unlink,fopen()等等，只要你把你所要执行操作的变量指定好或者对相关字符过滤严密，我想这样也就无懈可击了。
2、php简单的数据过滤
1）入库:  trim($str),addslashes($str)
2）出库:  stripslashes($str)
3）显示:  htmlspecialchars(nl2br($str))
分享一个实例
具体的代码：
 代码如下 复制代码
$post_var)
{
 if (is_numeric($post_var)) {
  $post[strtolower($post_key)] = get_int($post_var);
 } else {
  $post[strtolower($post_key)] = get_str($post_var);
 }
}
/* 过滤函数 */
//整型过滤函数
function get_int($number)
{
    return intval($number);
}
//字符串型过滤函数
function get_str($string)
{
    if (!get_magic_quotes_gpc()) {
 return addslashes($string);
    }
    return $string;
}
?>
在有些cms中我会看到
foreach($http_post_vars as $key=>$value){
$arrpostandget[]=$value;
}
foreach($http_get_vars as $key=>$value){
$arrpostandget[]=$value;
}
这个的代码然后在所有页面都加载这个函数，这样过滤个人发现好像上传文件时会有问题哦。
http://www.bkjia.com/phpjc/629640.htmlwww.bkjia.comtruehttp://www.bkjia.com/phpjc/629640.htmltecharticle以前讲述的很多关于sql防注入的代码，但是还是得从我们的服务器脚本开始了，下面就来讲述一个下php中防注入的一些常见方法大家可参考...