mysql_real_escape_string() 用于整个 $_REQUEST 数组，还是需要循环遍历它？

Question

除了以下方法之外，还有更简单的方法可以安全地提取提交的变量吗？

if(isset($_REQUEST['kkld'])) $kkld=mysql_real_escape_string($_REQUEST['kkld']);
if(isset($_REQUEST['info'])) $info=mysql_real_escape_string($_REQUEST['info']);
if(isset($_REQUEST['freq'])) $freq=mysql_real_escape_string($_REQUEST['freq']);

（并且：您会在这种情况下使用 isset() 吗？）

Answer 1

一次性转义所有变量：将

$escapedGet = array_map('mysql_real_escape_string', $_GET);

所有变量提取到当前命名空间中（即$foo = $_GET['foo']）：

extract($escapedGet);

请不要最后执行此操作尽管迈出一步。没有必要，只需将值保留在数组中即可。提取变量可能会导致名称冲突和覆盖现有变量，这不仅是麻烦和错误来源，而且还存在安全风险。另外，正如 @BoltClock 所说，坚持使用 $_GET 或 $_POST。另外，正如 @zerkms 指出的那样，不应该在数据库查询中使用的 mysql_real_escaping 变量是没有意义的，它甚至可能会导致进一步的问题。

---

请注意，实际上这一切都不是一个特别好的主意，您只是在转世 magic_quotes 和 global_vars，而这些在过去都是可怕的 PHP 实践。通过 mysqli 或 PDO 使用带有绑定参数的准备好的语句，并通过 $_GET 或 filter_input 使用值。请参阅 http://www.phptherightway.com。

Answer 2

您还可以使用像这样的递归函数来完成该任务

function sanitate($array) {
   foreach($array as $key=>$value) {
      if(is_array($value)) { sanitate($value); }
      else { $array[$key] = mysql_real_escape_string($value); }
   }
   return $array;
}
sanitate($_POST);

Answer 3

清理或验证任何 INPUT_GET、INPUT_POST、INPUT_COOKIE、INPUT_SERVER 或 INPUT_ENV ，您可以使用

• filter_input_array — 获取外部变量并可选择过滤它们

过滤可以通过回调完成，因此您可以提供mysql_real_escape_string。

此方法不允许过滤 $_REQUEST，因为您不应该工作当数据在任何其他超全局中可用时，使用 $_REQUEST 。这可能是不安全的。

该方法还要求您命名输入键，因此它不是通用的批量过滤。如果您需要通用批量过滤，请使用 array_map 或 array_walk 或 array_filter（如本页其他位置所示）。

另外，为什么你使用旧的 mysql 扩展而不是 mysqli （i 为改进）扩展。 mysqli 扩展将为您提供对事务、多重查询 和 准备好的语句（无需转义）所有功能都可以使您的数据库代码更加可靠和安全。

Answer 4

就我而言，Starx' 和 Ryan 在 2010 年 11 月 19 日的回答是最好的解决方案，因为我也需要这个。

当您有多个输入字段具有一个名称（例如names[]）时，这意味着它们将被保存到$_POST数组内的数组中，您必须使用递归函数，因为mysql_real_escape_string不适用于数组。

所以这是转义 $_POST 变量的唯一解决方案。

function sanitate($array) {
    foreach($array as $key=>$value) {
        if(is_array($value)) { sanitate($value); }
            else { $array[$key] = mysql_real_escape_string($value); }
   }
   return $array;
}
sanitate($_POST);

Answer 5

如果您使用 mysqli 扩展并且您想转义所有 GET 变量：

$escaped_get = array_map(array($mysqli, 'real_escape_string'), $_GET);

Answer 6

作为替代方案，我可以建议您使用 PHP7 输入过滤器，它提供了快捷方式sql 转义。我本身并不推荐它，但它可以避免创建本地化变量：

 $_REQUEST->sql['kkld']

可以在 SQL 查询字符串中内联使用，并在您忘记它时给出额外警告：

 mysql_query("SELECT x FROM y WHERE z = '{$_REQUEST->sql['kkld']}'");

它在语法上是有问题的，但允许您仅转义那些真正需要的变量它。或者要模拟您的要求，请使用 $_REQUEST->sql->always();