PHP实现防止sql注入的通用方法

1. function inject_check($sql_str) {
2. return eregi('select|insert|and|or|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile', $sql_str);
3. }
4. function verify_id($id=null) {
5. if(!$id) {
6. exit('没有提交参数！');
7. } elseif(inject_check($id)) {
8. exit('提交的参数非法！');
9. } elseif(!is_numeric($id)) {
10. exit('提交的参数非法！');
11. }
12. $id = intval($id);
14. return $id;
15. }
16. function str_check( $str ) {
17. if(!get_magic_quotes_gpc()) {
18. $str = addslashes($str); // 进行过滤
19. }
20. $str = str_replace("_", "\_", $str);
21. $str = str_replace("%", "\%", $str);
23. return $str;
24. }
25. function post_check($post) {
26. if(!get_magic_quotes_gpc()) {
27. $post = addslashes($post);
28. }
29. $post = str_replace("_", "\_", $post);
30. $post = str_replace("%", "\%", $post);
31. $post = nl2br($post);
32. $post = htmlspecialchars($post);
34. return $post;
35. }

复制代码

PHP, sql