php如何做sql过滤

SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统。因此，在执行sql语句前，一定要对用户输入的数据进行过滤处理。

防止sql注入的函数，过滤掉那些非法的字符,提高sql安全性，同时也可以过滤XSS的攻击。function filter($str)

{

if (empty($str)) return false;

$str = htmlspecialchars($str);

$str = str_replace( '/', "", $str);

$str = str_replace( '"', "", $str);

$str = str_replace( '(', "", $str);

$str = str_replace( ')', "", $str);

$str = str_replace( 'CR', "", $str);

$str = str_replace( 'ASCII', "", $str);

$str = str_replace( 'ASCII 0x0d', "", $str);

$str = str_replace( 'LF', "", $str);

$str = str_replace( 'ASCII 0x0a', "", $str);

$str = str_replace( ',', "", $str);

$str = str_replace( '%', "", $str);

$str = str_replace( ';', "", $str);

$str = str_replace( 'eval', "", $str);

$str = str_replace( 'open', "", $str);

$str = str_replace( 'sysopen', "", $str);

$str = str_replace( 'system', "", $str);

$str = str_replace( '$', "", $str);

$str = str_replace( "'", "", $str);

$str = str_replace( "'", "", $str);

$str = str_replace( 'ASCII 0x08', "", $str);

$str = str_replace( '"', "", $str);

$str = str_replace( '"', "", $str);

$str = str_replace("", "", $str);

$str = str_replace("&gt", "", $str);

$str = str_replace("&lt", "", $str);

$str = str_replace("

$str = str_replace("", "", $str);

$str = str_replace("

$str = str_replace("", "", $str);

$str = str_replace("select","",$str);

$str = str_replace("join","",$str);

$str = str_replace("union","",$str);

$str = str_replace("where","",$str);

$str = str_replace("insert","",$str);

$str = str_replace("delete","",$str);

$str = str_replace("update","",$str);

$str = str_replace("like","",$str);

$str = str_replace("drop","",$str);

$str = str_replace("DROP","",$str);

$str = str_replace("create","",$str);

$str = str_replace("modify","",$str);

$str = str_replace("rename","",$str);

$str = str_replace("alter","",$str);

$str = str_replace("cas","",$str);

$str = str_replace("&","",$str);

$str = str_replace(">","",$str);

$str = str_replace("

$str = str_replace(" ",chr(32),$str);

$str = str_replace(" ",chr(9),$str);

$str = str_replace(" ",chr(9),$str);

$str = str_replace("&",chr(34),$str);

$str = str_replace("'",chr(39),$str);

$str = str_replace("
",chr(13),$str);

$str = str_replace("''","'",$str);

$str = str_replace("css","'",$str);

$str = str_replace("CSS","'",$str);

$str = str_replace("