| 代码如下 | 复制代码 |
|
<?php教程 $_SESSION['check_pic']=$rand;//随机产生的四个数赋值session中，用于验证。 for($i=0;$i<10;$i++){ //画干扰线，10条 } header("Content-type: image/jpeg");//输出图片 |
|
调用方法
| 代码如下 | 复制代码 |
| <?php /* * Created on 2011-3-11 * Programmer : xiaoyao, QQ:1045195056 验证通过判断输入值与$_SESSION['check_pic']值 */ session_start();//开启session if(isset($_POST['check'])) { if($_POST['check']) { if($_POST['check']==$_SESSION['check_pic']) { echo " 验证码正确".$_SESSION['check_pic']; } else { echo " 验证码错误".$_SESSION['check_pic']; } } } ?> <FORM METHOD=POST ACTION=""> <img" width=100% src="index.php"><br> <!----链接图片---> <input type="text" name="check" > <input type="submit" value="提交"> </FORM> |
|
自己写的一款sql注入检测函数，可以有效的检测用户post,get过来的参考进行过滤，有需要的朋友参考一下。
| 代码如下 | 复制代码 |
|
<?php $strFilter="'|and|(|)|exec|insert|select|delete|update|count|*|%27|chr|mid|master|truncate|char|declare|union|or"; //需要过滤的字符，可以自己添，"|"是分隔符 /* ?> |
|
<?php教程
//must start or continue session and save CAPTCHA string in $_SESSION for
//it to be available to other requests
if(!isset($_SESSION)){
session_start();
header('Cache-control:private');
}
//create a 65*20 pixel image
$width=65;
$height=20;
$image=imagecreate(65,20);
//fill the image background color
$bg_color=imagecolorallocate($image,0x33,0x66,0xFF);
imagefilledrectangle($image,0,0,$width,$height,$bg_color);
//fetch random text
$text=random_text(5);
//determine x and y coordinates for centering text
$font=5;
$x=imagesx($image)/2-strlen($text)*imagefontwidth($font)/2;
$y=imagesy($image)/2-imagefontheight($font)/2;
//write text on image
$fg_color=imagecolorallocate($image,0xFF,0xFF,0xFF);
imagestring($image,$font,$x,$y,$text,$fg_color);
//save the CAPTCHA string for later comparison
$_SESSION['captcha']=$text;
//output the image
header('Content-type:image/png');
imagepng($image);
imagedestroy($image);
?>
我们利用了php教程自带的Magic Quotes来判断是否是开启了，如果是就strips教程lashes否则就用mysql教程_real_escape_string来过滤
//如果Magic Quotes功用启用
if (get_magic_quotes_gpc()) {
$name = stripslashes($name);
}else{
$name = mysql_real_escape_string($name);
}mysql_query("SELECT * FROM users WHERE name='{$name}'");
注：mysql_real_escape_string函数要等到mysql数据库教程连接成功才有效。
对于一些常见的输出目标（包括客户端、数据库教程和URL）的转义，PHP 中有内置函数可用。
如果你要写一个自己算法，做到万无一失很重要。需要找到在外系统中特殊字符的可靠和完整的列表，以及它们的表示方式，这样数据是被保留下来而不是转译了。
最常见的输出目标是客户机，使用htmlentities( )在数据发出前进行转义是最好的方法。与其它字符串函数一样，它输入是一个字符串，对其进行加工后进行输出。但是使用htmlentities( )函数的最佳方式是指定它的两个可选参数：引号的转义方式（第二参数）及字符集（第三参数）。引号的转义方式应该指定为ENT_QUOTES，它的目的是同时转义单引号和双引号，这样做是最彻底的，字符集参数必须与该页面所使用的字符集相必配。
为了区分数据是否已转义，我还是建议定义一个命名机制。对于输出到客户机的转义数据，我使用$html 数组进行存储，该数据首先初始化成一个空数组，对所有已过滤和已转义数据进行保存。
<?php教程
$html = array( );
$html['username'] = htmlentities($clean['username'], ENT_QUOTES, 'UTF-8');
echo "<p>Welcome back, {$html['username']}.</p>";
?>
小提示
htmlspecialchars( )函数与htmlentities( )函数基本相同，它们的参数定义完全相同，只不过是htmlentities( )的转义更为彻底。通过$html['username']把username 输出到客户端，你就可以确保其中的特殊字符不会被浏览
器所错误解释。如果username 只包含字母和数字的话，实际上转义是没有必要的，但是这体现了深度防范的原则。转义任何的输出是一个非常好的习惯，它可以戏剧性地提高你的软件的安全性。
另外一个常见的输出目标是数据库。如果可能的话，你需要对SQL 语句中的数据使用PHP内建函数进行转义。对于MySQL 用户，最好的转义函数是mysql教程_real_escape_string( )。如果你使用的数据库没有PHP 内建转义函数可用的话，addslashes( )是最后的选择。
下面的例子说明了对于MySQL 数据库的正确的转义技巧：
<?php
$mysql = array( );
$mysql['username'] = mysql_real_escape_string($clean['username']);
$sql = "SELECT *
FROM profile
WHERE username = '{$mysql['username']}'";
$result = mysql_query($sql);
?>