多層次防禦策略 1. 關鍵字過濾函數 function inject_check($sql_str) {   return preg_m

兩層防護機制 1. SQL 關鍵字黑名單過濾 function inject_check($sql_str) {   $check =

實測攻擊流程完整呈現 正常登入 SQL SELECT * FROM tbl_users WHERE username=zhang3 AND password=

兩大成因與核心觀點 php.ini 中 magic_quotes_gpc = Off 開發者未檢查資料型別與轉義 核心觀點：第 2 點最關鍵。無論 magi

繞過登入驗證的兩種經典構造 假設查詢：SELECT * FROM user WHERE username=$username AND password=$pas

兩大內建過濾方案 1. filter_var() 搭配 FILTER_SANITIZE_STRING $var = <b>Bill Gates&l

四大核心防禦原則 參數轉義與加引號：單引號轉雙引號（）、移除 -- 註釋、參數兩側加單引號。 資料表名稱加中括號：動態表名用 [@table] 包裹。 避免動

magic_quotes_gpc 機制與注入攻擊實例 magic_quotes_gpc 若為 Off，使用者輸入的單引號、雙引號、反斜線、NULL 不會自動轉義

傳統黑名單過濾防注入實作 早期常見做法：定義非法關鍵字陣列（select、union、; 等），遍歷 $_GET、$_POST 參數，若匹配則阻擋並導向錯誤頁。

三種引入防攻擊檔案的方式比較 逐檔引入：每支 PHP 檔案頂端 include，維護成本極高。 共用設定檔引入：如 config.inc.php，為主流做法，

PHP 安全模式核心設定指南 PHP 內建的安全模式是保護伺服器的重要機制，能限制危險函數（如 system()）與檔案操作權限。預設 php.ini 未啟用，

PHP 中預定義字符轉 HTML 實體的實作 在 PHP 開發中，為了防止跨站腳本攻擊（XSS）並保護資料庫安全，我們需要將使用者輸入的特殊字符轉換為 HTML

PHP 防 SQL 注入字元過濾函式組 提供三個針對不同語境的字元替換函式，分別處理**資料庫讀出顯示**、**寫入前過濾**、**單引號專用跳脫**，雖屬黑名

PHP htmlspecialchars 進階封裝：d_htmlspecialchars() 提供支援多維陣列遞迴處理的 HTML 實體編碼函式，涵蓋常見特殊字

PHP addslashes 進階封裝：d_addslashes() 針對多維陣列、巢狀資料結構，以及 PHP 版本差異（magic_quotes_gpc），提

PHP 常用工具函式：當前網址取得與頁面跳轉 整理兩個實用的 PHP 輔助函式，分別用於**取得完整當前頁面 URL** 以及**彈性的頁面導向**（支援立即跳

防護目標與設計思路 IP 黑名單：持久化儲存至 .htaccess2，攔截已知惡意 IP。 行為分析封禁：短時內高頻請求 → 記錄 → 超閾值自動加入黑名單。

PHP 相容 JavaScript escape/unescape 實作 前端使用 escape()/unescape()（已棄用，現代瀏覽器建議用 encod

類別設計亮點 這個 mysql 類別封裝了連線管理、查詢執行、資料抓取、寫入操作、表結構檢查等核心功能，並內建SQL 關鍵字過濾與XSS 防護，適合中小型專案快

核心防禦策略：輸入過濾與轉義 PHP 防 SQL 注入的核心在於「不信任任何外部輸入」。所有來自 $_GET、$_POST、$_COOKIE 的資料，在進入 S