为Sql注入解析MYSQL字符串

Question

我正在请求有关最好的方法/函数来解析字符串AFTER，它已经由参数解析的帮助。 我已经有很多很多很多的MySql，准备语句避免SQL注入的方法是不可能的，因为我没有时间。是否有任何功能上的绳子解析花茎人物，我立即打电话前：

//$sql_query_string_CLEAN = THE PLACE THE PARSING FUCNTION($sql_query_string); 
    mysql_query($sql_query_string_CLEAN, $connection); 

Answer 1

根据定义，这是不可能。为了说明：

您有疑问，像这样：

SELECT * FROM foo WHERE bar = "$baz" 

注射后，就变成：

SELECT * FROM foo WHERE bar = "42" OR "" = "" 

嗯...这是一个有效的SQL语句！你不能追溯到你的意思是。您需要确保在创建查询时保留您的意图。转义或更好的参数化是唯一的方法。

你当然可以尝试向后弯曲，并提出任何你想要的启发式和人工智能，但是你永远无法正确地将它关闭。它只是一个猫和老鼠的游戏，谁可以提出更聪明的解决方法。

"" = ""太明显了吗？好吧，让我们试试"a" = "a"。太明显了？ SUBSTR(bar, 1, 0) = "" ...玩得开心，但从不在生产中这样做。