所有得SQL语句如果有类似这样的写法："select * from cdr where src =".$userId; 都要改成 $userId=mysql_real_escape_string($userId)
所有有打印的语句如echo，print等 在打印前都要使用htmlentities() 进行过滤，这样可以防止Xss，注意中文要写出htmlentities($name,ENT_NOQUOTES,GB2312) 。
htmlspecialchars() 函数把一些预定义的字符转换为 HTML 实体。
预定义的字符是：
-
& （和号） 成为 &
-
" （双引号） 成为 "
-
' （单引号） 成为 '
-
< （小于） 成为 <
-
> （大于） 成为 >
阅读(723) | 评论(0) | 转发(0) |
