Najwyższa funkcja czystości/bezpieczeństwa

Nie ma sensu po prostu przekazywać danych wejściowych przez wszystkie te funkcje. Wszystkie te funkcje mają różne znaczenia. Dane nie stają się "czystsze", wywołując więcej funkcji escape.

Jeśli chcesz przechowywać dane użytkownika w MySQL musisz użyć tylko mysql_real_escape_string. Następnie jest w pełni zabezpieczony, aby bezpiecznie przechowywać w bazie danych.

EDIT

Zwróć również uwagę na problemy, które pojawiają się podczas korzystania z innych funkcji. Jeśli klient wyśle np. nazwę Użytkownika do serwera, a username zawiera ampersand (&), nie chcesz wywoływać htmlentities przed zapisaniem go w bazie danych, ponieważ wtedy nazwa użytkownika w bazie danych będzie zawierać &.

Szukasz filter_input_array(). Sugeruję jednak użycie tego tylko do walidacji/sanityzacji w stylu biznesowym, a nie filtrowania danych wejściowych SQL.

Dla ochrony przed SQL injection, użyj parametryzowanych zapytań z mysqli lub PDO.

Problem polega na tym, że coś czystego lub bezpiecznego dla jednego użycia, nie będzie dla innego : czyszczenie dla części ścieżki, dla części zapytania mysql, dla wyjścia html( jako html, lub w javascript lub w wartości wejścia), dla xml może wymagać różnych rzeczy, które są sprzeczne.

Ale pewne globalne rzeczy można zrobić. Spróbuj użyć filter_input , aby uzyskać dane wejściowe użytkownika. I użyj prepared statements do zapytań SQL.

Chociaż zamiast funkcji do-it-all, można Utwórz klasę, która zarządza Twoimi danymi wejściowymi. Coś w tym stylu:

class inputManager{
  static function toHTML($field){
    $data = filter_input(INPUT_GET, $field, FILTER_SANITIZE_SPECIAL_CHARS);
    return $data;
  }
  static function toSQL($field, $dbType = 'mysql'){
    $data = filter_input(INPUT_GET, $field);
    if($dbType == 'mysql'){
      return mysql_real_escape_string($data);
    }
  }
}

Z tego typu rzeczami, jeśli widzisz jakieś $_POST, $GET, $_REQUEST lub $_COOKIE w kodzie, wiesz, że musisz to zmienić. A jeśli pewnego dnia będziesz musiał zmienić sposób filtrowania wejść, po prostu zmień klasę, którą stworzyłeś.

Czy Mogę zasugerować zainstalowanie "mod_security", jeśli używasz apache i masz pełny dostęp do serwera?!
To rozwiązało większość moich problemów. Jednak nie polegaj tylko na jednym lub dwóch rozwiązaniach, zawsze pisz bezpieczny kod ;)
UPDATE Found this PHP IDS (http://php-ids.org;); wydaje się ładne:)

<?php
function sanitizeString($var)
{
    $var = stripslashes($var);
    $var = strip_tags($var);
    $var = htmlentities($var);
    return $var;
}

function sanitizeMySQL($connection, $var)
{
    $var = $connection->real_escape_string($var);
    $var = sanitizeString($var);
    return $var;
}
?>

I used that pass array or get, post

function cleanme(&$array)
{ 
 if (isset($array))
 {
     foreach ($array as $key => $value)
     {
          if (is_array($array[$key]))
          {
           secure_array($array[$key]);
          }
          else 
          {
            $array[$key] = strip_tags(mysql_real_escape_string(trim($array[$key])));
          }
     }
 }
}

Użycie:

cleanme($_GET);   
cleanme($_POST);