提交含特定字符组合时出现403错误的技术求助

你遇到的根本不是SQL注入转义的问题，而是服务器端的安全防护机制（比如WAF、mod_security）把"name"-place这类带引号加连字符的格式误判为攻击行为了——这种结构很像SQL注入里的字符串拼接尝试，安全规则很容易触发拦截，直接返回403。

给你几个针对性的解决方向：

1. 先定位拦截来源 #

• 如果你能访问服务器日志，去查mod_security的审计日志（常见路径是/var/log/apache2/modsec_audit.log），里面会明确记录触发了哪条规则。
• 要是用的虚拟主机，直接联系主机服务商，询问是否是某个WAF规则拦截了请求，让他们帮忙排查具体的规则ID。

2. 前端优化提交逻辑 #

• 强制使用POST提交：如果之前用的是GET方法，参数会暴露在URL里，更容易被安全规则盯上。把表单的method改成post，数据放在请求体里，能大幅降低误判概率。
• 提交前编码特殊内容：用JavaScript的encodeURIComponent()处理输入内容后再提交，示例代码：

  document.querySelector('#your-form').addEventListener('submit', function(e) {
    const targetInput = document.getElementById('your-input');
    targetInput.value = encodeURIComponent(targetInput.value);
  });
  

  后端接收后用urldecode()解码即可，这样特殊字符会被转成安全编码，绕过规则检测。

3. 后端/服务器层面调整（有权限时） #

• 给单个页面放行防护：在受影响页面的目录下创建.htaccess文件，添加以下规则（仅限Apache服务器）：

  <IfModule mod_security.c>
     SecFilterEngine Off
     SecFilterScanPOST Off
  </IfModule>
  

  注意别全局关闭防护，只针对需要的页面设置，避免降低网站整体安全性。
• 禁用误判的规则：如果找到了触发的规则ID，在mod_security配置文件里添加SecRuleRemoveById 规则ID，就能关掉这条误判的规则。

4. 替代提交方案 #

• 改用AJAX异步提交：把数据通过JSON格式发送到后端，这种请求结构和普通表单不同，可能避开安全规则检测。示例代码：

  const inputContent = document.getElementById('your-input').value;
  fetch('submit.php', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/json',
    },
    body: JSON.stringify({ content: inputContent }),
  })
  .then(res => res.text())
  .then(data => console.log('提交成功'));
  

  后端用json_decode(file_get_contents('php://input'))就能接收数据。

另外你之前用的addslashes、mysql_escape_string都是针对SQL注入的，和403拦截完全无关，所以不管用很正常——问题根源在服务器安全防护，不是数据库层面的问题。

内容的提问来源于stack exchange，提问作者Psam