php防止sql注入的自定义函数

清疚 2022-07-28 08:35 204阅读 0赞

**1.函数的构建**

1.       
2.  function inject\_check($sql\_str) \{      
3.    returneregi('select|insert|update|delete|\\'|\\/\\\*|\\\*|\\.\\.\\/|\\.\\/|union|into|load\_file|outfile',$sql\_str);    // 进行过滤      
4.  \}      
5.       
6.       
7.  function verify\_id($id=null) \{      
8.    if (!$id) \{  exit('没有提交参数！'); \}    // 是否为空判断      
9.    elseif (inject\_check($id)) \{  exit('提交的参数非法！'); \}    // 注射判断      
10.   elseif (!is\_numeric($id)) \{  exit('提交的参数非法！'); \}    // 数字判断      
11.   $id = intval($id);    // 整型化      
12.      
13.   return  $id;      
14. \}      
15.      
16.      
17. function str\_check( $str ) \{      
18.   if (!get\_magic\_quotes\_gpc()) \{    // 判断magic\_quotes\_gpc是否打开      
19.     $str = addslashes($str);    // 进行过滤      
20.    \}      
21.   $str = str\_replace("\_", "\\\_", $str);    // 把 '\_'过滤掉      
22.   $str = str\_replace("%", "\\%", $str);    // 把 '%'过滤掉      
23.      
24.   return $str;       
25. \}      
26.      
27.      
28. function post\_check($post) \{      
29.   if (!get\_magic\_quotes\_gpc()) \{    // 判断magic\_quotes\_gpc是否为打开      
30.     $post = addslashes($post);    // 进行magic\_quotes\_gpc没有打开的情况对提交数据的过滤      
31.    \}      
32.   $post = str\_replace("\_", "\\\_", $post);    // 把 '\_'过滤掉      
33.   $post = str\_replace("%", "\\%", $post);    // 把 '%'过滤掉      
34.   $post = nl2br($post);    // 回车转换      
35.   $post = htmlspecialchars($post);    // html标记转换      
36.      
37.   return $post;      
38. \}

**2.函数的使用实例**

<?php  
if (inject\_check($\_GET\['id'\]))  
\{  
     exit('你提交的数据非法，请检查后重新提交！');  
\}  
else  
\{  
    $id = $\_GET\['id'\];  
//处理数据………………  
\}  
?>