为什么不用addslashes 或者htmlspecialchars

zfm1988 · 发表于 2011-2-12 00:00:39

看了STBLOG和骑士cms后发现为什么他们在将内容插入数据库时不通过上述函数进行转义呢？
各位姐妹兄弟你们在进行数据库插入时是怎么做的？

Hex · 发表于 2011-2-12 00:45:05

该转义的自然会转义，并不是所有输入都要经过那几个函数的处理，比如我要输入超文本内容。

zfm1988 · 发表于 2011-2-12 10:23:50

哦，看到网上说因为安全性的需要，最好在text属性的文本框提交时加入上面两个函数。
对于 hex说的输入超文本，可以再输出时在反转移啊！

Hex · 发表于 2011-2-12 13:05:30

输入超文本一般是需要进行 XSS 过滤的，你的反转义解决不了任何安全问题，还给你造成了一次多余的反转义操作，没意义。

zfm1988 · 发表于 2011-2-13 11:12:07

谢谢HEX老大的提醒，我现在的做法是把text里面的全部序列化，然后输出时反序列化呢？？
不知道这样做会有什么坏处吗？

Hex · 发表于 2011-2-13 14:49:22

序列化有什么用？
建议在数据库里存储原始数据，在输出时做处理。

		自动登录	找回密码
密码			入住 CI 中国社区

[已解决] 为什么不用addslashes 或者htmlspecialchars