过滤掉特殊字符，可以考虑使用字符串替换的方法，在php中替换字符效率最高也是最简单字符替换函数str_replace函数。使用方法：str_replace(find，replace，string，count)参数说明：find 必需。规定要查找的值。replace 必需。
十载的瑞金网站建设经验，针对设计、前端、开发、售后、文案、推广等六对一服务，响应快，48小时及时工作处理。全网营销推广的优势是能够根据用户设备显示端的尺寸不同，自动调整瑞金建站的显示方式，使网站能够适用不同显示终端，在浏览器中调整网站的宽度，无论在任何一种浏览器上浏览网站，都能展现优雅布局与设计，从而大程度地提升浏览体验。创新互联公司从事“瑞金网站设计”,“瑞金网站推广”以来，每个客户项目都认真落实执行。
用trim函数 如果是其他位置用str_replace( ，，$array)；str_replace(find，replace，string，count)参数 描述 find 必需。规定要查找的值。replace 必需。规定替换 find 中的值的值。string 必需。
php安全篇值过滤用户输入的人参数规则1：绝不要信任外部数据或输入关于Web应用程序安全性，必须认识到的第一件事是不应该信任外部数据。外部数据(outside data) 包括不是由程序员在PHP代码中直接输入的任何数据。
subject 要进行搜索和替换的字符串或字符串数组。limit 可选。每个模式在每个subject上进行替换的最大次数。默认是 -1(无限)。cout 可选。
string mysql_real_escape_string ( string unescaped_string [， resource link_identifier])本函数将 unescaped_string 中的特殊字符转义，并计及连接的当前字符集，因此可以安全用于 mysql_query()。
比如我们的这个页是http：//daybook.diandian点抗 /login.php，那么我们提交：http：//daybook.diandian点抗 /login.php？admin=1，呵呵，你想一些，我们是不是直接就是管理员了，直接进行管理。
array_merge($HTTP_POST_VARS，$HTTP_GET_VARS)；这个方法里面的第一个参数不是数组，这很明显的说了啊。
防止CSRF，表单设置隐藏域，post一个随机字符串到后台，可以有效防止跨站请求伪造。文件上传，检查是否做好效验，要注意上传文件存储目录权限。防御SQL注入。
防sql注入 先对提交数据中的危险字符过滤或编码。比如：名称或帖子标题，一定不能是html，直接进行htmlencode ，最后输出到页面上，也不会变成html，而是显示原始字符。
1、string mysql_real_escape_string ( string unescaped_string [， resource link_identifier])本函数将 unescaped_string 中的特殊字符转义，并计及连接的当前字符集，因此可以安全用于 mysql_query()。
2、地址栏禁止特殊字符防SQL注入 把特殊字符（如and、or、、）都禁止提交就可以防止注入了。
3、首先命药明白POST，GRT，COOKIE，其实它是一个数组。
4、Thinkphp内置了数据过滤机制。可以有效的将一些存在风险的符号过滤处理。具体如下：Thinkphp2版本：使用I方法来获取post、get等参数。例如获取id参数。
5、比如黑客在 telnet 80 的时候，那么将无法看到PHP的信息。
6、array_merge($HTTP_POST_VARS，$HTTP_GET_VARS)；这个方法里面的第一个参数不是数组，这很明显的说了啊。
