PHP和PDO阻止Javascript注入

Question

我有一个网站使用PDO编写的PHP。我现在用的是bindParam（）函数来绑定到一个SQL INSERT查询：

("insert into Table (id, date, data) VALUES (?, ?, ?)") 

，但我能够插入包含

"<script>window.location="google.com"</script>" 

如何防止这样的字符串？

谢谢！

Answer 1

PDO是不会阻止你这样做。您需要将自己绳子的护理：

1. 如果你不希望在所有<script>标签，使用strip_tags
2. 如果你希望这些标签，但不想让他们去执行，然后使用htmlentities

Answer 2

假设你的意思

<script>window.location="google.com"</script> 

你应该担心显示行上注入保护，如您不想与HTML实体来填充数据库。

在显示数据库内容的页面上使用htmlspecialchars() [1]。

[1] http://www.php.net/manual/en/function.htmlspecialchars.php