PHP中防XSS攻击和防sql注入

SQL注入如何防？

TP中的底层已经做了防SQL注入的操作，只要我们操作数据库时使用TP提供给我们的方法就不会有问题，如添加商品时我们调用了add方法。唯一要注意的就是如果我们自己拼SQL执行时就要自己来过滤了。

 

总结：如果要自己拼SQL语句，一定要自己再过滤一下【addslashes】，也不是直接就能过滤，还要考虑PHP服务器有没有开启自动过滤的功能，如果服务器已经开启自动过滤的功能我们就不能再过滤，只有没有开启时才需要手动过滤：

注意：

1.不要两次过滤，原先是在单引号前加转义符，如果两次过滤就是\\'，就失去了原来的意义的。

2.以前有一种写法是直接在输入框加个;分号，然后再写一句SQL语句，这种方法对asp有效，但是对php无效，因为php默认每次只能执行一条sql语句。

防XSS跨站脚本攻击：