PHP和PDO阻止Javascript注入

Question

我有一個網站使用PDO編寫的PHP。我現在用的是bindParam（）函數來綁定到一個SQL INSERT查詢：

("insert into Table (id, date, data) VALUES (?, ?, ?)") 

，但我能夠插入包含

"<script>window.location="google.com"</script>" 

如何防止這樣的字符串？

謝謝！

Answer 1

PDO是不會阻止你這樣做。您需要將自己繩子的護理：

1. 如果你不希望在所有<script>標籤，使用strip_tags
2. 如果你希望這些標籤，但不想讓他們去執行，然後使用htmlentities

Answer 2

假設你的意思

<script>window.location="google.com"</script> 

你應該擔心顯示行上注入保護，如您不想與HTML實體來填充數據庫。

在顯示數據庫內容的頁面上使用htmlspecialchars() [1]。

[1] http://www.php.net/manual/en/function.htmlspecialchars.php