A. php安全過濾函數
%20,%27,%2527這一類的是url編碼,對應空格,單引號
B. php為什麼要過濾參數
主要是防止sql注入
舉例來說
如果$_GET['pwd']是你接受的參數
那麼你不處理的話
如何我$_GET['pwd']裡面是"'or'1";你的sql就無效了或者寫刪表語句"';drop····"
mysql_query("select*from表名wherepwd='$_GET[pwd]'");
還有就是數據本身可能不合法 如何 要int 你給的是string
C. php怎麼過濾script代碼和其他不安全的一些腳本代碼呢 本人剛學php，不懂哎，請各位朋友指點一下。
if(preg_match("/<script>/",$_POST['mima'])){
echo"輸入有誤";
}
D. thinkphp本身有對表單進行安全過濾嗎
LZ您好，thinkphp本身是帶有一點安全過濾的功能的，但是一般我們還是自己再另外寫一遍自定義的過濾方法或者類，對表單多進行幾次驗證，防止惡意黑客的破壞
E. php 純數字url參數安全過濾代碼
標准答案我就不知道了,只是我個人的理解大概是這個方面要注意:
1 [POST/GET]頁面參數傳值/字元串輸入/數據入庫等類似動作都要做好嚴格的危險字元過濾處理.
2 相關PHP的I/O操作,需要注意限制許可權,文件名或目錄名或內容都要做好過濾處理.
3 敏感信息(如PASSWORD/銀行帳號等)不要依賴COOKIE,SESSION,最好讀表,並盡量緩存讀表數據.
4 注意對網站根目錄及下面所有子目錄及文件的許可權控制與保護,不要讓配置文件/系統信息等文件暴露.
5 要完全屏掉所有出錯提示,或者能捕獲所有出錯並重新定製輸出,以防報錯信息泄露你的網站及相關文件路徑,MYSQL欄位/網站環境等.
6 所有對庫表的寫入與讀取操作都需要做好訪問來路限制/同IP同內容讀寫間隔限制/並驗證POST與GET的指定標識KEY的有效性等這些安全動作.
7 有類似文件下載/或文本流下載等功能的,盡量不要在URL裡面直接調用目標文件地址的方式來做,最好是傳ID或是指定的NAME標識.
8 MYSQL 的用戶最好分開,不要用ROOT用戶來連接MYSQL,另建專用用戶,並限制死此用戶的許可權,只能操作指定的庫,最好去掉此用戶的命令行導入導出的許可權等這些危險的許可權.
F. 求php防止被sql 注入攻擊的過濾用戶輸入內容的函數
functionclean($v){
//判斷magic_quotes_gpc是否為打開
if(!get_magic_quotes_gpc()){
//進行magic_quotes_gpc沒有打開的情況對提交數據的過濾
$v=addslashes($v);
}
//把'_'過濾掉回
$v=str_replace("_","\_",$v);
//把'%'過濾掉
$v=str_replace("%","\%",$v);
//把'*'過濾掉
$v=str_replace("*","*",$v);
//回車轉換答
$v=nl2br($v);
//html標記轉換
$v=htmlspecialchars($v);
return$v;
}如果需要，還可以屏蔽一下危險字元，例如insert， update， delete等
//將update去掉
$v=str_replace("update","",$v);
最後，在拼裝sql語句時，用戶輸入的東西，全括在單引號內
G. 看到很多php的安全過濾函數，經常把一些字元給替換掉，那用戶輸入的信息改變了不是很不好嗎求解
正像你所說的，安全過濾，為了安全而限制用戶的行為是必須的，你想想這樣的限制針專對的是什麼屬用戶？是有意危害網站安全的用戶。舉幾個例子：
把標題中的html標簽過濾。因為標題一般都是純文本，1.html標簽會導致布局錯亂2.會包含危險script3.把引號等字元編碼為html實體並不會影響其最終顯示效果；
把正文中的<script>標簽過濾掉。因為普通用戶根本不會去執行script。所以我們一般有兩種做法：1.把script去掉，2.用html實體字元編碼標簽，這樣在顯示文章既可以顯示代碼段又不會執行代碼了；
過濾查詢參數的單引號。這是為了防止sql注入，一般有三種方法來實現：1.給引號添加反斜線2.去掉引號3.用sql的prepare動態綁定參數；
總之，不要信任任何的用戶輸入，限制還是為了更多的普通用戶更好的使用咱們的服務。
H. 請問PHP怎麼過濾GET或者POST的參數防止js注入，或者一些html注入請請提供代碼參考謝謝！
string mysql_real_escape_string ( string unescaped_string [, resource link_identifier])
本函數將來 unescaped_string 中的特殊字元自轉義，並計及連接的當前字元集，因此可以安全用於 mysql_query()。
注: mysql_real_escape_string() 並不轉義 % 和 _。
例子 1. mysql_real_escape_string() 例子
<?php
$item = "Zak's and Derick's Laptop";
$escaped_item = mysql_real_escape_string($item);
printf ("Escaped string: %s\n", $escaped_item);
?>
以上例子將產生如下輸出：
Escaped string: Zak\'s and Derick\'s Laptop
I. PHP流（Stream）的概述與使用詳解
在現代 PHP 特性中，流或許是最出色但使用率最低的。雖然 PHP 4.3 就引入了流，但是很多開發者並不知道流的存在，因為人們很少提及流，而且流的文檔也很匱乏。PHP 官方文檔對流的解釋如下：
可能看完這段解釋後還是雲里霧里，我們簡化一下，流的作用是在出發地和目的地之間傳輸數據。出發地和目的地可以是文件、命令行進程、網路連接、ZIP 或 TAR 壓縮文件、臨時內存、標准輸入或輸出，或者是通過 PHP 流封裝協議實現的任何其他資源。
如果你讀寫過文件，就用過流；如果你從 php://stdin 讀取過數據，或者把輸入寫入 php://stdout ，也用過流。流為 PHP 的很多 IO 函數提供了底層實現，如 file_get_contents、fopn、fread 和 fwrite 等。PHP 的流函數提供了不同資源的統一介面。
我們可以把流比作管道，把水（資源數據）從一個地方引到另一個地方。在水從出發地到目的地的過程中，我們可以過濾水，可以改變水質，可以添加水，也可以排出水。
流式數據的種類各異，每種類型需要獨特的協議，以便讀寫數據，我們稱這些協議為 流封裝協議 。例如，我們可以讀寫文件系統，可以通過 HTTP、HTTPS 或 SSH 與遠程 Web 伺服器通信，還可以打開並讀寫 ZIP、RAR 或 PHAR 壓縮文件。這些通信方式都包含下述相同的過程：
1.開始通信
2.讀取數據
3.寫入數據
4.結束通信
雖然過程是一樣的，但是讀寫文件系統中文件的方式與收發 HTTP 消息的方式有所不同，流封裝協議的作用是使用通用的介面封裝這種差異。
每個流都有一個協議和一個目標。指定協議和目標的方法是使用流標識符：<scheme>://<target>，其中 <scheme> 是流的封裝協議，<target> 是流的數據源。
http://流封裝協議
下面使用 HTTP 流封裝協議創建了一個與 Flicker API 通信的 PHP 流：
不要以為這是普通的網頁 URL，file_get_contents() 函數的字元串參數其實是一個流標識符。http 協議會讓 PHP 使用 HTTP 流封裝協議，在這個參數中，http 之後是流的目標。
我們通常使用 file_get_contents()、fopen()、fwrite() 和 fclose() 等函數讀寫文件系統，因為 PHP 默認使用的流封裝協議是 file://，所以我們很少認為這些函數使用的是 PHP 流。下面的示例演示了使用 file:// 流封裝協議創建一個讀寫 /etc/hosts 文件的流：
我們通常會省略掉 file:// 協議，因為這是 PHP 使用的默認值。
php://流封裝協議
編寫命令行腳本的 PHP 開發者會感激 php:// 流封裝協議，這個流封裝協議的作用是與 PHP 腳本的標准輸入、標准輸出和標准錯誤文件描述符通信。我們可以使用 PHP 提供的文件系統函數打開、讀取或寫入下面四個流：
1. php://stdin ：這是個只讀 PHP 流，其中的數據來自標准輸入。PHP 腳本可以使用這個流接收命令行傳入腳本的信息；
2. php://stdout ：把數據寫入當前的輸出緩沖區，這個流只能寫，無法讀或定址；
3. php://memory ：從系統內存中讀取數據，或者把數據寫入系統內存。缺點是系統內存有限，所有使用 php://temp 更安全；
4. php://temp ：和 php://memory 類似，不過，沒有可用內存時，PHP 會把數據寫入這個臨時文件。
其他流封裝協議
PHP 和 PHP 擴展還提供了很多其他流封裝協議，例如，與 ZIP 和 TAR 壓縮文件、FTP 伺服器、數據壓縮庫、Amazon API、Dropbox API 等通信的流封裝協議。需要注意的是，PHP 中的 fopen()、fgets()、fputs()、feof() 以及 fclose() 等函數不僅可以用來處理文件系統中的文件，還可以在所有支持這些函數的流封裝協議中使用。
自定義流封裝協議
我們還可以自己編寫 PHP 流封裝協議。PHP 提供了一個示例 StreamWrapper 類，演示如何編寫自定義的流封裝協議，支持部分或全部 PHP 文件系統函數。關於如何編寫，具體請參考以下文檔：
http://php.net/manual/zh/class.streamwrapper.php
http://php.net/manual/zh/stream.streamwrapper.example-1.php
有些 PHP 流能夠接受一系列可選的參數，這些參數叫流上下文，用於定製流的行為。不同的流封裝協議使用的流上下文有所不同，流上下文使用 stream_context_create() 函數創建，這個函數返回的上下文對象可以傳入大多數文件系統函數。
例如，你知道可以使用 file_get_contents() 發送 HTTP POST 請求嗎？使用一個流上下文對象即可實現：
流過濾器
目前為止我們討論了如何打開流，讀取流中的數據，以及把數據寫入流。不過，PHP 流真正強大的地方在於過濾、轉換、添加或刪除流中傳輸的數據，例如，我們可以打開一個流處理 Markdown 文件，在把文件內容讀入內存的過程中自動將其轉化為 HTML。
運行該腳本，輸出的都是大寫字母：
我們還可以使用 php://filter 流封裝協議把過濾器附加到流上，不過，使用這種方式之前必須先打開 PHP 流：
這個方式實現效果和 stream_filter_append() 函數一樣，但是相比之下更為繁瑣。不過，PHP 的某些文件系統函數在調用後無法附加過濾器，例如 file() 和 fpassthru()，使用這些函數時只能使用 php://filter 流封裝協議附加流過濾器。
自定義流過濾器
我們還可以編寫自定義的流過濾器。其實，大多數情況下都要使用自定義的流過濾器，自定義的流過濾器是個 PHP 類，繼承內置的 php_user_filter 類（ http://php.net/manual/zh/class.php-user-filter.php ），且必須實現 filter()、onCreate() 和 onClose() 方法，最後，必須使用 stream_filter_register() 函數注冊自定義的流過濾器。
然後，我們必須使用 stream_filter_register() 函數注冊這個自定義的 DirtyWordsFilter 流過濾器：
第一個參數用於標識這個自定義過濾器的過濾器名，第二個參數是這個自定義過濾器的類名。接下來就可以使用這個自定義的流過濾器了：
修改 test.txt 內容如下：
運行上面的自定義過濾器腳本，結果如下：
stream_bucket_append函數：為隊列添加數據
stream_bucket_make_writeable函數：從操作的隊列中返回一個數據對象
stream_bucket_new函數：為當前隊列創建一個新的數據
stream_bucket_prepend函數：預備數據到隊列
stream_context_create函數：創建數據流上下文
stream_context_get_default函數：獲取默認的數據流上下文
stream_context_get_options函數：獲取數據流的設置
stream_context_set_option函數：對數據流、數據包或者上下文進行設置
stream_context_set_params函數：為數據流、數據包或者上下文設置參數
stream__to_stream函數：在數據流之間進行復制操作
stream_filter_append函數：為數據流添加過濾器
stream_filter_prepend函數：為數據流預備添加過濾器
stream_filter_register函數：注冊一個數據流的過濾器並作為PHP類執行
stream_filter_remove函數：從一個數據流中移除過濾器
stream_get_contents函數：讀取數據流中的剩餘數據到字元串
stream_get_filters函數：返回已經注冊的數據流過濾器列表
stream_get_line函數：按照給定的定界符從數據流資源中獲取行
stream_get_meta_data函數：從封裝協議文件指針中獲取報頭/元數據
stream_get_transports函數：返回注冊的Socket傳輸列表
stream_get_wrappers函數：返回注冊的數據流列表
stream_register_wrapper函數：注冊一個用PHP類實現的URL封裝協議
stream_select函數：接收數據流數組並等待它們狀態的改變
stream_set_blocking函數：將一個數據流設置為堵塞或者非堵塞狀態
stream_set_timeout函數：對數據流進行超時設置
stream_set_write_buffer函數：為數據流設置緩沖區
stream_socket_accept函數：接受由函數stream_ socket_server()創建的Socket連接
stream_socket_client函數：打開網路或者UNIX主機的Socket連接
stream_socket_enable_crypto函數：為一個已經連接的Socket打開或者關閉數據加密
stream_socket_get_name函數：獲取本地或者網路Socket的名稱
stream_socket_pair函數：創建兩個無區別的Socket數據流連接
stream_socket_recvfrom函數：從Socket獲取數據，不管其連接與否
stream_socket_sendto函數：向Socket發送數據，不管其連接與否
stream_socket_server函數：創建一個網路或者UNIX Socket服務端
stream_wrapper_restore函數：恢復一個事先注銷的數據包
stream_wrapper_unregister函數：注銷一個URL地址包
整合資料
本文整合於以下兩篇文章
https://blog.csdn.net/qq756684177/article/details/81518647
https://xueyuanjun.com/post/7459.html