Ist die Verhinderung von XSS und SQL-Injection so einfach wie dieses

Ist es sogar noch einfacher. Nur htmlspecialchars() (mit Zitat-Stil und character set), die auf user-controlled input ist genug. Die strip_tags() ist nur sinnvoll, wenn Sie schon wollen zu bereinigen die Daten vor der Verarbeitung/speichern in der Datenbank, die oft nicht in der realen Welt. HTML-code kann nicht Schaden, im PHP-source, aber PHP-code kann dies tun, wenn Sie verwenden eval() auf non-sanitized Benutzer-gesteuerte ein-oder jene Art von bösen Sachen.

Diese jedoch nicht speichern Sie aus SQL-Injektionen, aber das ist eine andere Geschichte.

Update: um sauber Benutzereingaben aus der Anfrage zu vermeiden magic quotes in user-controlled input, können Sie folgende Funktion verwenden:

function get_string($array, $index, $default = null) {
    if (isset($array[$index]) && strlen($value = trim($array[$index])) > 0) {
         return get_magic_quotes_gpc() ?  stripslashes($value) : $value;
    } else {
         return $default;
    }
}

kann verwendet werden als:

$username = get_string($_POST, "username");
$password = get_string($_POST, "password");

(die Sie tun können, simliar für get_number, get_boolean, get_array etc)

Vorbereitung der SQL-Abfrage zu vermeiden SQL-Injektionen, do:

$sql = sprintf(
    "SELECT id FROM user WHERE username = '%s' AND password = MD5('%s')",
        mysql_real_escape_string($user),
        mysql_real_escape_string($password)
); 

Zur Anzeige von Benutzer-gesteuerte Eingabe zu vermeiden, XSS, do:

echo htmlspecialchars($data, ENT_QUOTES, 'UTF-8');

strip_tags ist nicht notwendig. In den meisten Fällen strip_tags ist nur irritierend, weil einige Benutzer verwenden möchten, können < und > in Ihren Texten. Verwenden Sie einfach htmlspecialchars (oder htmlentities, wenn Sie bevorzugen), bevor man das echo der Texte an den browser.

(Vergessen Sie nicht mysql_real_esacpe_string, bevor Sie etwas einfügen in Ihre Datenbank!)

Ja, mit PDO prepared statements schützt vor SQL-injection. Die SQL-injection-Angriff beruht auf der Tatsache, dass die Daten, die vom Angreifer behandelt, als ein Teil der Abfrage. Zum Beispiel, der Angreifer sendet den string "a" oder 'a'='a", wie sein Passwort. Statt die gesamte string verglichen, um die Passwörter in der Datenbank, es wird in der Abfrage enthalten, so dass die Abfrage wird "SELECT * FROM users WHERE login='joe' AND password='a' oder 'a'='a'". Der Teil der Angreifer-Eingabe wird interpretiert als ein Teil der Abfrage. Jedoch, im Falle von prepared statements, Sie erzählt die SQL-engine, die speziell, welche Rolle die Abfrage, und welche Daten (die von der Einstellung der Parameter), also keine solche Verwechslung möglich ist.

Nein, mit strip_tags nicht immer schützen Sie sich vor cross-site-scripting. Betrachten Sie das folgende Beispiel. Angenommen, Ihre Seite enthält:

<script>
location.href='newpage_<?php echo strip_tags($_GET['language']); ?>.html';
</script>

Den Angreifer sendet die Anfrage mit "Sprache" festgelegt "';somethingevil();'" . die Funktion strip_tags() gibt an, diese Daten so wie Sie ist (es gibt keine tags). Der erzeugte code Seite wird:

<script>
location.href='newpage_';somethingevil();'.html';
</script>

somethingevil() ausgeführt wird. Ersetzen somethingevil() durch tatsächliche XSS-exploit-code.

Deinem letzten Beispiel mit htmlspecialchars() werden Sie schützen gegen dieses, weil es zu entkommen einfache Anführungszeichen. Ich habe jedoch gesehen, noch seltsamer Fälle von vom Benutzer gelieferten Daten in JavaScript-code, wo es nicht einmal innerhalb einer in Anführungszeichen eingeschlossenen Zeichenkette haben. Ich glaube, es war in den Variablen-oder Funktionsnamen. In letzterem Fall wird kein Betrag der Flucht, wird es wahrscheinlich helfen. Ich glaube, es ist am besten zu vermeiden, die Verwendung von Benutzer-Eingabe zu erzeugen JavaScript-code.