mysql 字符串过滤特殊符号

基础概念

MySQL中的字符串过滤特殊符号通常是指在处理文本数据时，去除或替换掉一些不需要的特殊字符，如&, #, *, %, @, !, $, {, }, [, ], (, ), +, =, |, \, /, :, ;, <, >, ?, ", '等。这些特殊字符在某些情况下可能会引起SQL注入攻击或数据格式问题。

类型

输入过滤：在用户输入数据时进行过滤。
输出过滤：在数据输出到前端时进行过滤。

应用场景

用户注册和登录：防止用户输入恶意字符进行SQL注入攻击。
数据导入导出：确保导入导出的数据格式正确，避免特殊字符引起的问题。
数据展示：在前端展示数据时，过滤掉不必要的特殊符号。

常见问题及解决方法

问题：为什么会出现SQL注入攻击？

原因：SQL注入攻击通常是由于应用程序没有正确过滤用户输入的数据，直接将其拼接到SQL查询语句中，导致恶意用户可以通过输入特定字符来执行非预期的SQL命令。

解决方法：

使用预处理语句：如MySQLi或PDO的预处理语句，可以有效防止SQL注入。

// 使用MySQLi预处理语句
$conn = new mysqli($servername, $username, $password, $dbname);
$stmt = $conn->prepare("INSERT INTO users (username, email) VALUES (?, ?)");
$stmt->bind_param("ss", $username, $email);
$username = "user";
$email = "user@example.com";
$stmt->execute();

手动过滤特殊字符：在拼接SQL语句之前，手动过滤掉特殊字符。

function escapeSpecialChars($str) {
    return mysql_real_escape_string($str);
}

$username = escapeSpecialChars($_POST['username']);
$email = escapeSpecialChars($_POST['email']);
$sql = "INSERT INTO users (username, email) VALUES ('$username', '$email')";

问题：如何在前端展示时过滤特殊字符？

解决方法：

使用HTML实体编码：将特殊字符转换为HTML实体，防止XSS攻击。

function htmlEntities($str) {
    return htmlspecialchars($str, ENT_QUOTES, 'UTF-8');
}

$username = htmlEntities($_POST['username']);
echo $username;

使用JavaScript进行过滤：

function escapeHtml(unsafe) {
    return unsafe
        .replace(/&/g, "&amp;")
        .replace(/</g, "&lt;")
        .replace(/>/g, "&gt;")
        .replace(/"/g, "&quot;")
        .replace(/'/g, "&#039;");
}

var username = document.getElementById("username").value;
username = escapeHtml(username);
document.getElementById("display").innerHTML = username;