PHP在使用正则表达式验证，防注入的时候要注意一下的细节
如下：这是一个防止用户输入的数据中包含SQL的一些关键字的正则表达式
之前一直认为这写的很正确，没多大的问题，而且自己测试也没问题，
因为关键字包含 And，而如果用户输入andy的时候呢，汗，所以还得结合
SQL的一些特点来对这个正则表达式进行修改
注：\s：在正则表达式中表示空格；正则表达式最后的小"i"表示不区分大小写
做出的修改是：select,insert,update,delete这几个关键字，使用的时候前面有可能有或没有空格，但后面必须有一个空格，
所以变成 [\s]*select\s
而and,or,union这些，因为必须前面一个空格，后面一个空格才能生效
所以改成 \sand\s
function inject_check($Sql_Str) {//检查Sql的注入语句,各种关键字。
//原来是这样的：/select|insert|update|delete|and|or|\‘|\\*|\*|\.\.\/|\.\/|union|into|load_file|outfile/i
//$check=preg_match(‘/[\s]*select\s|[\s]*insert\s|[\s]*update\s| [\s]*delete\s|\sand\s|\sor\s|\‘|\\*|\*|\.\.\/|\.\/|\sunion\s|\sinto\s|load_file|outfile/i‘,$Sql_Str);
//不过这样太难看了，所以稍微修改一下，
$check=preg_match(‘/[\s]*(select|insert|update|delete)\s|\s(and|or|join|like|regexp|where|union|into)\s|\#|\‘|\\*|\*|\.\.\/|\.\/|load_file|outfile/i‘,$Sql_Str);
if ($check) {
echo ‘<script language="JavaScript">alert("Warnning!!\r\n‘.$Sql_Str.‘ is invalid.");</script>‘;
exit();
}else{
return $Sql_Str;
}
}
郑重声明：本站内容如果来自互联网及其他传播媒体，其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享，并不代表本站赞同其观点和对其真实性负责，也不构成任何其他建议。
