Q

没有输入字段排除SQL注入的可能性？

sql
forms

2013-04-16 34 views 0 likes

0

据我所知，PHP应用程序在需要用户在网页表单上输入以发送到变量（如$ POST或$ GET或$ REQUEST）时很容易发生SQL注入。这是否意味着如果我的应用程序/ htmlpage没有用户输入表单，它完全免费的SQL注入？没有输入字段排除SQL注入的可能性？

2013-04-16 Leon Helmsley

A

回答

1

不，任何用户输入都会导致SQL注入。比如说，你使用查询字符串中的参数执行SQL查询。如果你还没有清理这些参数，你仍然倾向于SQL注入。

你能做的最好的事情就是从不信任用户的输入，并始终消毒

为了防止SQL注入使用预处理语句和参数化查询

见：http://php.net/manual/en/book.pdo.php

2013-04-16 22:22:29

+0

但如何他们会直接访问查询字符串吗？ –

+0

那么，这是很容易的部分，因为这是网址:)'whatever.com/index.php？where = whatever' –

+0

哦。这现在更有意义。谢谢！我会在几分钟内接受你的回答。 –

相关问题