1. <?php 
2. //方法一 
3. //过滤',",sql语名 
4. addslashes(); 
5.  
6. //方法二，去除所有html标签 
7.  
8. strip_tags(); 
9.  
10. //方法三过滤可能产生代码 
11.  
12. function php_sava($str)  
13. {  
14.     $farr = array(  
15.         "/s+/",                                                                                           
16.         "/<(/?)(script|i?frame|style|html|body|title|link|meta|?|%)([^>]*?)>/isU",    
17.         "/(<[^>]*)on[a-zA-Z]+s*=([^>]*>)/isU",                                       
18.        
19.    );  
20.    $tarr = array(  
21.         " ",  
22.         "＜\1\2\3＞",           //如果要直接清除不安全的标签，这里可以留空  
23.         "\1\2",  
24.    ); 
25.  
26.   $str = preg_replace( $farr,$tarr,$str);  
27.    return $str;  
28. } 
29.  
30. //php sql防注入代码 
31.  
32. class sqlin 
33. { 
34.  
35. //dowith_sql($value) 
36. function dowith_sql($str) 
37. { 
38.    $str = str_replace("and","",$str); 
39.    $str = str_replace("execute","",$str); 
40.    $str = str_replace("update","",$str); 
41.    $str = str_replace("count","",$str); 
42.    $str = str_replace("chr","",$str); 
43.    $str = str_replace("mid","",$str); 
44.    $str = str_replace("master","",$str); 
45.    $str = str_replace("truncate","",$str); 
46.    $str = str_replace("char","",$str); 
47.    $str = str_replace("declare","",$str); 
48.    $str = str_replace("select","",$str); 
49.    $str = str_replace("create","",$str); 
50.    $str = str_replace("delete","",$str); 
51.    $str = str_replace("insert","",$str); 
52.    $str = str_replace("'","",$str); 
53.    $str = str_replace(""","",$str); 
54.    $str = str_replace(" ","",$str); 
55.    $str = str_replace("or","",$str); 
56.    $str = str_replace("=","",$str); 
57.    $str = str_replace("%20","",$str); 
58.    //echo $str; 
59.    return $str; 
60. } 
61. //aticle()防SQL注入函数//php教程 
62. function sqlin() 
63. { 
64.    foreach ($_GET as $key=>$value) 
65.    { 
66.        $_GET[$key]=$this->dowith_sql($value); 
67.    } 
68.    foreach ($_POST as $key=>$value) 
69.    { 
70.        $_POST[$key]=$this->dowith_sql($value); 
71.    }//开源代码phpfensi.com 
72. } 
73. } 
74.  
75. $dbsql=new sqlin(); 
76. ?> 

使用方式:将以上代码复制新建一个sqlin.php的文件,然后包含在有GET或者POST数据接收的页面.

原理:将所有的SQL关键字替换为空,本代码在留言本中不能使用,若要在留言本中使用请替换其中的.

1. $str = str_replace("and","",$str); 
2. //到: 
3. $str = str_replace("%20","",$str);//的代码为: 
4. $str = str_replace("and","&#97;nd",$str); 
5. $str = str_replace("execute","&#101;xecute",$str); 
6. $str = str_replace("update","&#117;pdate",$str); 
7. $str = str_replace("count","&#99;ount",$str); 
8. $str = str_replace("chr","&#99;hr",$str); 
9. $str = str_replace("mid","&#109;id",$str); 
10. $str = str_replace("master","&#109;aster",$str); 
11. $str = str_replace("truncate","&#116;runcate",$str); 
12. $str = str_replace("char","&#99;har",$str); 
13. $str = str_replace("declare","&#100;eclare",$str); 
14. $str = str_replace("select","&#115;elect",$str); 
15. $str = str_replace("create","&#99;reate",$str); 
16. $str = str_replace("delete","&#100;elete",$str); 
17. $str = str_replace("insert","&#105;nsert",$str); 
18. $str = str_replace("'","&#39;",$str); 
19. $str = str_replace(""","&#34;",$str); 

Tags: php 过滤字符 sql防注入

分享到：