几个防SQL注入攻击函数的区别

if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST[‘lastname’]);
} else {
$lastname = $_POST[‘lastname’];
}

最好对magic_quotes_gpc已经开放的情况下，还是对$_POST[’lastname’]进行检查一下。

再说下mysql_real_escape_string和mysql_escape_string这2个函数的区别：

mysql_real_escape_string 必须在(PHP 4 >= 4.3.0, PHP 5)的情况下才能使用。否则只能用 mysql_escape_string ，两者的区别是：mysql_real_escape_string 考虑到连接的当前字符集，而mysql_escape_string 不考虑。

总结一下：

* addslashes() 是强行加/；
* mysql_real_escape_string() 会判断字符集，但是对PHP版本有要求；
* mysql_escape_string不考虑连接的当前字符集。

dz中的防止sql注入就是用addslashes这个函数，同时在dthmlspecialchars这个函数中有进行一些替换$string = preg_replace(&＃39;/&((#(/d{3,5}|x[a-fA-F0-9]{4}));)/&＃39;, &＃39;&//1&＃39;,这个替换解决了注入的问题，同时也解决了中文乱码的一些问题

推荐学习：PHP视频教程

以上就是几个防SQL注入攻击函数的区别的详细内容，更多请关注 第一PHP社区 其它相关文章！