不错，比较了解了

<?php
function addslashes_str($str){
$str=addslashes($str);
$str=str_replace($str,";",'\;');
return $str;
}


?>

$str=str_replace($str,";",'\;');这个有什么用？

1)
请使用mysqli或者pdo，不要再使用mysql了。mysql这个已经不怎么维护了。

2）
“SET NAMES utf8;”，这个用法是错误的，在某些编码下存在漏洞。在php5.0.5以后，都应该用mysqli_set_charset(类似的是mysql_set_charset)。
http://cn.php.net/manual/en/mysqli.set-charset.php

至于为什么mysql_query("set names xxx")存在漏洞，说起来就比较复杂了，一句话就是：某些编码里，\会作为字符的一部分，导致串解析异常。m…

4.疑问....
如果说php6取消了magic_quotes_gpc,而addslashes()根据surfchen说的不安全,那过滤函字符用什么?
php6有什么新花样?
还是mysqli_real_escape_string()  ???? 

这里调用的是 mysql lib 提供的 mysql_set_character_set 函数。关于这个更底层的 mysql lib，可以看这个：http://jabberd2.xiaoka.com/ticket/177，尤其是这个说明：http: //dev.mysql.com/doc/refman/5.0/en/mysql-set-character-set.html

This function works like the SET NAMES statement, but also sets the value of mysql->charset, and thus affects the character set used by mysql_real_escape_string()

1) 
请使用mysqli或者pdo，不要再使用mysql了。mysql这个已经不怎么维护了。 

2） 
“SET NAMES utf8;”，这个用法是错误的，在某些编码下存在漏洞。在php5.0.5以后，都应该用mysqli_set_charset(类似的是mysql_set_charset)。 
http://cn.php.net/manual/en/mysqli.set-charset.php 

至于为什么mysql_query("set names xxx")存在漏洞，说起来就比较复杂了，一句话就是：某些编码里，\会作为字符的一部分，导致串解析异常。mys…

个个都说写得好，却不知道去寻找其中的问题，不去思考。现在网络上大多数错误的编程经验，就是这样出来的。如果我不在这里说，不知道还有多少人被误导。 

写这种总结帖是不错，但是如果没有人来挑错，那就会使得其中的错误编程思想被传播开。

很少看到这么治学严谨的兄弟了． 
汗颜！

引用 20 楼 jakey9826 的回复:
很少看到这么治学严谨的兄弟了． 
汗颜！ 
 

感觉这样子,学习的氛围才会好,要不然小白是挖不出内核的...

这样的帖应该要顶一下...加一下精 

但我们的版主好像半退休状态了