PHP实现表单提交数据的验证处理功能【防SQL注入和XSS攻击等】

/** * 安全过滤函数 * * @param $string * @return string */function safe_replace($string) { $string = str_replace('%20','',$string); $string = str_replace('%27','',$string); $string = str_replace('%2527','',$string); $string = str_replace('*','',$string); $string = str_replace('"','"',$string); $string = str_replace("'",'',$string); $string = str_replace('"','',$string); $string = str_replace(';','',$string); $string = str_replace('<','<',$string); $string = str_replace('>','>',$string); $string = str_replace("{",'',$string); $string = str_replace('}','',$string); $string = str_replace('//','',$string); return $string;}

<?php$user_name = strim($_REQUEST['user_name']);function strim($str){ //trim() 函数移除字符串两侧的空白字符或其他预定义字符。 //htmlspecialchars() 函数把预定义的字符转换为 HTML 实体(防xss攻击)。 //预定义的字符是： //& （和号）成为 & //" （双引号）成为 " //' （单引号）成为 ' //< （小于）成为 < //> （大于）成为 > return quotes(htmlspecialchars(trim($str)));}//防sql注入function quotes($content){ //if $content is an array if (is_array($content)) {  foreach ($content as $key=>$value)  {   //$content[$key] = mysql_real_escape_string($value);   /*addslashes() 函数返回在预定义字符之前添加反斜杠的字符串。   预定义字符是：   单引号（'）   双引号（"）   反斜杠（/）   NULL */   $content[$key] = addslashes($value);  } } else {  //if $content is not an array  //$content=mysql_real_escape_string($content);  $content=addslashes($content); } return $content;}?>

//过滤sql注入function filter_injection(&$request){ $pattern = "/(select[/s])|(insert[/s])|(update[/s])|(delete[/s])|(from[/s])|(where[/s])/i"; foreach($request as $k=>$v) {    if(preg_match($pattern,$k,$match))    {      die("SQL Injection denied!");    }    if(is_array($v))    {     filter_injection($request[$k]);    }    else    {     if(preg_match($pattern,$v,$match))     {      die("SQL Injection denied!");     }    } }}

<?php function get_numeric($val) {  if (is_numeric($val)) {  return $val + 0;  }  return 0; } ?>