1. SQL注入：TP在底层拼SQL时已经过滤SQL注入了，在数据查询中，用拼接tp的sql语句即可。在写原生sql语句时，接受用户穿过的数据可使用 mysql_escape_string(),来过滤
2. XSS：我们自己使用了HTMLPURIFIER来过滤了。
网站安全考虑：1、sql注入 2、跨站脚本攻击
原文：http://www.cnblogs.com/yexiangwang/p/4928941.html
