php安全鐵律

http://cxc359170248.blog.163.com/blog/static/115407313201222681435225/

規則 1：毫不要信任外部數據或輸入
清單 1. 安全無暇的代碼
清單 2. 不安全、有瑕疵的代碼
清單 3. 使用戶輸入變得安全
規則 2：禁用那些使安全性難以實施的PHP設置
規則 3：若是不能理解它，就不能保護它
清單 4. 使代碼容易獲得保護
規則 4：「縱深防護」 是新的法寶
防止SQL注入攻擊
清單 5. 不安全的 PHP 表單處理代碼
清單7：展現了帶轉義處理的代碼

原來mysql_escape_real_string和htmlspeicalchars是兩回事。
msyql_*系列已是過期了,相應的應該考慮用PDO
hmtlspecialchars是用於HMTL展現的