PHP安全的问题，对提交过来的数组是直接过滤？还是取出数组中的键值进行过滤？

[Gawie]

同问

[opennet]

@Gawie 目前我是这样做的，取出每一个值进行过滤。

[no2x]

数组里的数据，看你怎么用啊，如果是要取出来往 SQL 里加，那么，加的时候再处理也不迟。

无缘无故没必要处理数组里的数据吧？你又不可能直接数组丢进 SQL 里。

[shinwood]

建议对 _POST _GET _COOKIE 进行全局过滤，参考Discuz!的方法即可。

[clowwindy]

这个在数据层做比较好吧，写个SQL连接的库，合并带参数占位符的SQL语句和参数的时候，对字符串自动转义。