使用javascript、php、mysql进行HTML表单处理时的安全注意事项

为了防止SQL注入,应该使用语言的转义函数。对于PHP,那是 mysql_real_escape_string . 或者,更好的是,使用PDO来限制用户可以将哪些内容放入数据库。

HTML注入/XSS攻击是不同的;您可以将原始HTML存储在数据库中而无需发出任何问题,但在 显示 任何源于用户的HTML,调用 htmlspecialcharacters 以防止客户端的Web浏览器对其进行解释。

做 不 编写您自己的自定义检查代码。你会错过什么。

至于usename,应该这样做:

if (preg_match('/^[a-z\d_\-<>]{5,20}$/i', $username)) {
    echo "Your username is ok."; 
    // Note that you still have to do something with <>
    // Though, personally I'd advise sticking to /^[a-z\d_]{5,20}$/i
} else {
    echo "Wrong username format.";
}

Source

对于SQL注入,在进入数据库的所有内容上使用mysql_real_escape_string或mysqli_real_escape_string