discuz的php防止sql注入函数

最近在做一个主题投票网站，客户懂一些程序方面的东西。有特别要求需要过滤一些字符防止sql注入。本来这方面就没有特别的研究过。呵呵，又发扬了一回拿来主义。把discuz论坛的sql防注入函数取了来！ 

[php]  view plain copy

1. $magic_quotes_gpc = get_magic_quotes_gpc();   
2. @extract(daddslashes($_COOKIE));   
3. @extract(daddslashes($_POST));   
4. @extract(daddslashes($_GET));   
5. if(!$magic_quotes_gpc) {   
6. $_FILES = daddslashes($_FILES);   
7. }   
8. function daddslashes($string, $force = 0) {   
9. if(!$GLOBALS['magic_quotes_gpc'] || $force) {   
10. if(is_array($string)) {   
11. foreach($string as $key => $val) {   
12. $string[$key] = daddslashes($val, $force);   
13. }   
14. } else {   
15. $string = addslashes($string);   
16. }   
17. }   
18. return $string;   
19. }  

大家可以增强下面的代码加以保护服务器的安全，PHP防止SQL注入安全函数十分重要！ 

[php]  view plain copy

1. /*  
2. 函数名称：inject_check()  
3. 函数作用：检测提交的值是不是含有SQL注射的字符，防止注射，保护服务器安全  
4. 参　　数：$sql_str: 提交的变量  
5. 返 回 值：返回检测结果，ture or false  
6. */   
7. function inject_check($sql_str) {   
8. return eregi('select|insert|and|or|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile', $sql_str); // 进行过滤   
9. }   
10.   
11. /*  
12. 函数名称：verify_id()  
13. 函数作用：校验提交的ID类值是否合法  
14. 参　　数：$id: 提交的ID值  
15. 返 回 值：返回处理后的ID  
16. */   
17. function verify_id($id=null) {   
18. if (!$id) { exit('没有提交参数！'); } // 是否为空判断   
19. elseif (inject_check($id)) { exit('提交的参数非法！'); } // 注射判断   
20. elseif (!is_numeric($id)) { exit('提交的参数非法！'); } // 数字判断   
21. $id = intval($id); // 整型化   
22.   
23. return $id;   
24. }   
25.   
26. /*  
27. 函数名称：str_check()  
28. 函数作用：对提交的字符串进行过滤  
29. 参　　数：$var: 要处理的字符串  
30. 返 回 值：返回过滤后的字符串  
31. */   
32. function str_check( $str ) {   
33. if (!get_magic_quotes_gpc()) { // 判断magic_quotes_gpc是否打开   
34. $str = addslashes($str); // 进行过滤   
35. }   
36. $str = str_replace("_", "\_", $str); // 把 '_'过滤掉   
37. $str = str_replace("%", "\%", $str); // 把 '%'过滤掉   
38.   
39. return $str;   
40. }   
41.   
42. /*  
43. 函数名称：post_check()  
44. 函数作用：对提交的编辑内容进行处理  
45. 参　　数：$post: 要提交的内容  
46. 返 回 值：$post: 返回过滤后的内容  
47. */   
48. function post_check($post) {   
49. if (!get_magic_quotes_gpc()) { // 判断magic_quotes_gpc是否为打开   
50. $post = addslashes($post); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤   
51. }   
52. $post = str_replace("_", "\_", $post); // 把 '_'过滤掉   
53. $post = str_replace("%", "\%", $post); // 把 '%'过滤掉   
54. $post = nl2br($post); // 回车转换   
55. $post = htmlspecialchars($post); // html标记转换   
56.   
57. return $post;   
58. }