sql 问题

 

 

1：sql语句中，无论如何都不允许出现 $sql = " ... $_GET..." / $_POST / $_REQUEST等直传变量

2：每一个方法或者函数，如果确认知道传进来的参数的类型，例如 getUserInfo($uid)， 明确这个uid只能是正整数，一律增加转换和判断 $uid = intval($uid); if($uid < 1)return false;

3：对于字符串，在写到sql语句的时候一律增加一个处理 $user = addslashes(stripslashes($user))

4：SQL中的数值，一律使用单引号括起来， uid = '{$uid}',这个机会不会有性能的影响，但是需要注意的是，如果 $uid 变量是负值，可能会导致全表遍历，碰到负值，可以不加单引号，但是必须确保是数值型。