防止非法字段提交（ThinkPHP）——安全問題

​方法一：

自己定義的方法：

---

方法二：

TP框架裏面，給我們提供了過濾非法字段的方式。

在 Model.class.php裏面定義了兩個常量。

const MODEL_INSERT          =  1;      //  插入模型數據

const MODEL_UPDATE          =  2;      //  更新模型數據

在我們寫的create方法裏面，添加參數，

分析添加參數意義，打開tp源碼包裏面的Model.calss.php文件的create方法。

我們在自定義Type模型裏面定義了insertFields屬性。

 

在1035行的位置，是過濾非法提交的字段，$data是提交post數據，包含非法提交的字段，

$fields是模型裏面設置的合法提交的字段，通過如下foreach循環來過濾

 

總結：

（1）在模型裏面的insertFields屬性定義合法提交的字段。

（2）在控制器裏面添加數據時，create 方法裏面，添加參數；