在会话上实施安全性

Question

如何保护我的 session 发布的数据以减少注入？

当我使用 $_SESSION[''] = $var; 时可能需要添加一些东西吗？ 或者当我通过 $var = $_SESSION['']; 检索数据时？

Answer 1

你说的安全是什么意思？ 这取决于您最终将要对数据做什么以及数据的来源，在这种情况下，它与您对其他变量所做的没有什么不同。 如果您打算在$_SESSION数组上显示数据，则应使用htmlentities或htmlspecialchars对其进行转义以防止 XSS 等。如果您在查询中使用$_SESSION数组中的数据，则应mysql_real_escape_string它（或者，更好的是，使用绑定参数）来防止注入。 如果您可以完全控制进入$_SESSION的数据，则无需担心太多。