我是新手，请注意。我听到很多关于转义数据以防止 XSS 攻击的信息。我该怎么做呢？
这就是我目前正在做的事情-
$s = mysqli_real_escape_string($connect,$_POST['name']));
这就够了吗？谢谢
【问题讨论】：
如果你将数据输出到 html 你应该使用 htmlspecialchars() 否则，如果您将数据存储在数据库中，您应该使用 mysqli_real_escape_string() 和强制转换数字来转义 strings（或同时使用准备好的语句） 并通过基于白名单的过滤来保护标识符/运营商。
如果你以正确的方式使用它们，这两种方法都是你所需要的。
【讨论】：
您应该使用 htmlspecialchars 而非 mysqli_real_escape_string 进行输出。
【讨论】：
<?= 或其他什么都没关系。
mysqli_real_escape_string($something)或$pdo->quote($something)或prepared statements。当您通过在他/她收到的 html 页面中回显某些内容向用户输出不受信任的数据时，您使用 htmlspecialchars($something, ENT_QUOTES);
如果您刚刚开始修复代码以抵御攻击（即 SQL 注入攻击），最好检查参数化查询。您基本上对这些内容所做的就是将您的内容（输入）与命令（sql）分开，因此您永远不会让它们被可能的恶意用户输入的信息（例如名称）混淆。
您可以尝试从使用 PDO 类开始：
你可以在这里开始阅读PDO 手册：http://php.net/manual/en/book.pdo.php 这个页面有一个很好的例子：http://php.net/manual/en/pdo.prepared-statements.php
<?php
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':value', $value);
// insert one row
$name = 'one';
$value = 1;
$stmt->execute();
// insert another row with different values
$name = 'two';
$value = 2;
$stmt->execute();
?>
但是，你不需要使用PDO，你也可以使用mysqli，见http://php.net/manual/en/mysqli.prepare.php
<?php
/* Script A -- We are already connected to the database */
$stmt = mysqli_prepare($link, "INSERT INTO table VALUES (?, ?, 100)"); /* Query 1 */
mysqli_stmt_bind_param($stmt, "si", $string, $integer);
mysqli_stmt_execute($stmt);
mysqli_stmt_close($stmt); // CLOSE $stmt
?>
因为名称是一个单独的值，所以它永远不能是 SQL 命令，所以你会自动安全。
【讨论】：