php 防sql注入

1、打开 php.ini 中的 magic_quotes_gpc 选项，将提交的变量中所有的 '(单引号)、"(双号号)、\(反斜线)、空白字符，都为在前面自动加上 \

 

2、在$_get[]和$_post[]时使用htmlspecialchars()函数转换特殊字符为HTML字符编码(mysql_escape_string()函数也可以转移字符串)

 

3、关闭php.ini 中的 display_errors 选项，不显示错误信息

 

4、尽量使用字符串而不是数字