【PHP】防 SQL 注入和开发安全

    程序员水平和经验参差不齐，一部分程序员在编写代码的时候没有对用户输入的数据合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想知道的数据，这就是所谓的 SQL Injection，即 SQL 注入。受影响的系统：对输入不进行检查和过滤的系统。

// 防SQL注入
function checkInput( $val ){
	// 去除斜杠
	if ( get_magic_quotes_gpc() ){
		$val = stripslashes( $val );
	}
	if ( function_exists( "mysql_real_escape_string" ) ){
		$val = mysql_real_escape_string( $val );
	}else {
		$val = addslashes( $val );
	}
	return $val;
}

其他安全设置
1、register_globals = Off
2、SQL 语句书写时尽量不要省略小引号和单引号
3、正确使用 $_POST、$_GET、$_SESSION 等接收参数，并加以过滤
4、提高数据库命名技巧，对于一些重要的字段可根据程序特点命名
5、对于常用方法加以封装，避免直接暴露 SQL 语句