今天我说一下怎么在框架中over掉这些安全问题。

      首先是SQL注入，这个如果你使用的是PDO，我觉得应该没什么问题，如果你使用的还是mysql_*等API，那么你可以在框架中实现bindParameter或者在插入数据库之前进行字符串转义。

      前两天把上一篇文章写完之后，Vian在后面留言说到过SQL注入的一个解决方案，就是在在插入DB之前进行'''.addslashes($id).'''，它的意思就是首先进行addslashes操作，之后再强制单引号包裹，这样它就是一个不折不扣的字符串了，所以就注入不了，我觉得这个方法不错，赞一个！！

      由于SQL注入需要联系到模型，XSS需要联系到视图，这两块儿我都没有开始讲，所以我再后面再讲怎么在框架中解决，当然，如果我写到后面忘记了，你也可以提醒我一下。

      上一次我讲CSRF的时候，并没有给出一个解决方案，今天我就给出这个解决方案。实际上解决的方法很简单，就是给它产生一个随机数，然后后端判定传递过来的数和正确的数是否吻合， 如果不吻合，就不执行相应的代码了，这个随机数我们称为token。

      为了简单，我们就将产生token和得到token的函数都写在控制器中，即Controller.php。

      首先是生成随机数，最简单的方式是使用mt_rand()直接产生一个整数，但在这儿我使用之前我在initphp这个框架中看到的解决csrf的方法，在这儿，也谢谢initphp作者的思路：

      initphp的代码是：

1	private function set_token() {

2	if (!$_COOKIE['init_token']) {

3	$str = substr(md5(time(). $this->get_useragent()), 5, 8);

4	setcookie("init_token", $str, NULL, '/');

5	$_COOKIE['init_token'] = $str;

6 免责声明： 本文仅代表作者个人观点，与爱易网无关。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容。 相关资料更多> htaccess有关问题 图片存储与浏览一例(Linux+Apache+PHP+MySQL) phpwind推进中小网站生态链 启动全国巡回会议 php发送http请求回到的中文是乱码 Thinkphp url路由配备 请问case语句 “十分PHP学习网”（www.veryphp.cn）一期上线 一张表对应两个php文件怎么理解 php中单引号和双引号混合使用的有关问题 推荐阅读更多> php多态与接话把现的代码实例 惯用PHP正则表达式 不同域名的cookie如何共享 PHPExcel读取excel资料 PHP如何透过ODBC来存取数据库 把include放入函数里则包孕的变量不可调用 php 正则怎么匹配2级域名 dos下怎么修改mysql数据库的character_set_server编码 急新买个主机，有点有关问题，大家帮小弟我看看，怎么处理呢 htaccess 伪静态跳转有关问题 php中的 $代表变量，但是这个变量是什么类型怎么知道 用过bsd或unix系统的友人，是否见过这个符号 PHP中global跟$GLOBALS[]的区别 好了，我经过大家的支持现在已经成功的把access数据倒换为mysql形式，本人将奉献给那些需要的朋友们！-PHP_数据库相关 找人开发PHP抽奖程序,该如何处理 怎样在PHP中通过ADO调用Asscess数据库和COM程序 session存储在数据库和memcache中的有关问题 PHP浮点数显示和转成字符串 【初学】php服务器配置,该怎么解决 配置了zendframework，其他项目进不去了,该如何处理