我是否必须更改我所有的 htmlspecialchars ... mysql_real_escape_string 中的 ENT_QUOTES？

Question

我想保护我的网站免受 sql 注入和其他可能的风险，所以我通过为每个变量添加如下内容来更改我的所有 sql 查询：

 $getLid = htmlspecialchars($_GET[lid], ENT_QUOTES);

对于我的 50 个文件...但我刚刚看到这可能是我的错误：我应该为任何“输入”添加 mysql_real_escape_string...

在这种情况下使用mysql_real_escape_string 还是更好，还是ENT_QUOTES 也可以使用？我是否必须再次重新启动并添加mysql_real_escape_string 而不是我的htmlspecialchars(..., ENT_QUOTES);？

编辑：

你是这个意思吗？

$getLid = escape_string($str);

function escape_string($str){
    return mysql_real_escape_string($str);
}

编辑n°2：return语句不能正常工作，你知道为什么吗？

警告：mysql_real_escape_string() [function.mysql-real-escape-string]：无法在 ... www/escape_file.php 中建立到服务器的链接

访问被拒绝... www/escape_file.php 中的用户

谢谢

Answer 1

有很多关于安全用户输入的参考。你可以谷歌它，但我认为你应该在另一个 php 文件（如“escape.php”）中编写一个类或一个函数，然后将该文件包含到所有 50 个文件中。然后用它来逃避。例子：

include 'escape.php';
$str = escape_string($str);

因此，您只需更改单个文件即可轻松更改转义功能。 希望对你有帮助。