php防止sql注入处理方法

解决的办法是将php.ini的magic_quotes_gpc设置为Off

在php.ini的magic_quotes_gpc=On的情况下，如果输入的数据有单引号（’）、双引号（”）、反斜线（）与 NUL（NULL 字符）等字符都会被加上反斜线。

注：magic_quotes_gpc=On时会有问题：在Cookies里，如果有'这样的标点符号，会将这些符号全部转义为\'。

如果这个选项为off，那么我们就必须调用addslashes这个函数来为字符串增加转义。

正是因为这个选项必须为On，但是又让用户进行配置的矛盾，在PHP6中删除了这个选项，一切的编程都需要在magic_quotes_gpc=Off下进行了。在这样的环境下如果不对用户的数据进行转义，后果不仅仅是程序错误而已了。同样的会引起数据库被注入攻击的危险。所以从现在开始大家都不要再依赖这个设置为On了，以免有一天你的服务器需要更新到PHP6而导致你的程序不能正常工作。

代码如下	复制代码
当magic_quotes_gpc=On的时候，函数get_magic_quotes_gpc()就会返回1 当magic_quotes_gpc=Off的时候，函数get_magic_quotes_gpc()就会返回0

addslashes()：对输入字符串中的某些预定义字符前添加反斜杠，这样处理是为了数据库查询语句等的需要。这些预定义字符是：单引号 (') ，双引号 (") ，反斜杠 (\) ，NULL。

stripslashes()：删除由 addslashes() 函数添加的反斜杠。该函数用于清理从数据库或 HTML 表单中取回的数据。(若是连续二个反斜杠，则去掉一个，保留一个；若只有一个反斜杠，就直接去掉。)

更加简便的防止sql注入的方法（推荐使用这个）：
 
 if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否为打开     
 {     
    $post = addslashes($name); // magic_quotes_gpc没有打开的时候把数据过滤     
 }     
 
 $name = str_replace("_", "\_", $name); // 把 '_'过滤掉   
   
 $name = str_replace("%", "\%", $name); // 把' % '过滤掉     
 
 $name = nl2br($name); // 回车转换     
 
 $name= htmlspecialchars($name); // html标记转换    
     
 return $name;