你是想要filter_input函数，多看手册：

http://www.w3school.com.cn/php/func_filter_input.asp

纯数字的参数intval强制取整 其他参数值进行过滤或者转义 protected function zaddslashes($string, $force = 0, $strip = FALSE) { if (!defined('MAGIC_QUOTES_GPC')) { define('MAGIC_QUOTES_GPC', ''); } if (!MAGIC_QUOTES_GPC || $force) { if (is_array($string)) { foreach ($string as $key => $val) { $string[$key] = $this->zaddslashes($val, $force, $strip); } } else { $string = ($strip ? stripslashes($string) : $string); $string = htmlspecialchars($string); } } return $string; }

我一般都对$_POST $_GET都使用zaddslashes，然后整数的参数值进行取整，防止XSS和SQL注入

HTTP头信息：IP、浏览器信息、等也进行转义过滤防止HTTP头注入

magic_quotes_gpc开启后会影响图片上传等，自动将内容引号转义

注意PHP5.5包括之后已经将magic_quotes_gpc配置废弃

除此之外，最好在服务器方面也做关键词过滤，Mysql为业务使用到的库创建用户和赋权

可以把自己应用放服务器上，装个sqlmap注入下自己试试，以上几点做到一般情况下不会被搞，至少不会被getshell

乌云白帽子路过...

1. 像用户名这种有格式的东西，应该取到之后马上用正则表达式验证，比如preg_match('/\A\w{6,14}\z/', $user)就验证了它是不是6~14位的数字字母下划线。不要使用系统自带的filter，那个管不了什么用。

2. 不要使用mysql开头的函数，要使用mysqli，而且最好进行参数化查询而不是addslashes，后者会有编码问题。

3. 输出html的时候，默认使用htmlspecialchars，这个函数可以指定编码。或者你可以用现成的模板引擎。

4. 比较字符串的时候，强制使用strcmp，不要使用双等号。

5. 不要使用$_REQUEST。

这样可以防掉95%。至于magic_quotes_gpc，应该早就废了吧。

现在市面上这些书真的害人不浅，随便下结论或者是楼主没有仔细读。为什么直接使用 $_GET $_POST 不安全？

看了楼主的例子，应该是直接将$_GET 用在拼接SQL上，这样肯定是不安全的，所以核心信息应该是：直接将 $_GET/$_POST等用户输入的内容用于SQL拼接是不安全的，如何避免？

例如:

sqlselect * from user where username= "$_GET['username']"

如果用户提交的username 为

sql" 0 or true or username ="

那么就会变成这样：

sqlselect * from user where username = "0" or true or username=""

那么会返回所有的用户记录。当然这里只是粗暴的举了一个例子。实际上要做XSS要熟知代码或者猜测到运行的逻辑等了解很多东西。

最简单的过滤方法是使用 mysql_real_escape_string 函数

至于 magic_quotes，是php最失败的一个改进，现已废弃，就算是低版本的PHP也一定要关闭它。

如果 $_GET
首先判断是否为空
然后对值进行判断
举个例子：
只接受数字 那就使用 php自带函数 is_numeric

一般 GET 也只是传递某个标识
总之在数据库或其他操作之前 先验证 传过来的变量 是否为自己预期的值

可以先对post或者get请求过滤，php有内置函数进行过滤，然后在使用

同意二楼的要有一个过滤，不过只是系统自带的肯定不行，最好自己再根据情况做一个过滤等之类的处理。

防止XSS攻击,最简单粗暴的做法就是用htmlspecialchars把特殊字符(&,",',<,>)转换为HTML实体(&"'<>)后输出.

purify($html);

prepare('SELECT name, colour, calories FROM fruit WHERE calories < :calories AND colour = :colour'); $sth->bindParam(':calories', $calories, PDO::PARAM_INT); $sth->bindParam(':colour', $colour, PDO::PARAM_STR, 12); $sth->execute();

$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

prepare('SELECT * FROM users WHERE username = ?'); $stmt->bind_param('s', $_GET['username']); //s表示用户名被绑定为字符串型,整型用i. $stmt->execute();