以下MySql存储过程是否容易受到sql注入？

Question

阅读了几乎所有的帖子，但无法判断我的程序是否易受伤害？任何帮助表示赞赏。

1）调用过程为：

$query = ($is_mine?'call dispatch.dis_get_my_assigned_tasks("'.$username.'");' 

步骤：

CREATE DEFINER=`test`@`localhost` PROCEDURE `dis_get_all_assigned_tasks`() 
BEGIN  
    select distinct at_id, at_issues, at_location, at_room_number, user_fname, 
     from dispatch.dis_assigned_tasks 
     left outer join dispatch.dis_users 
     on user_id = at_user 
    order by at_location, at_user_pickup_timestamp desc; 
END 

2）调用方法如：

$query = "call dispatch.dis_get_user_info('".$username."');"; 

步骤：

CREATE DEFINER=`test`@`localhost` PROCEDURE `dis_get_user_info`(IN username VARCHAR(45)) 
BEGIN  
    select * from dispatch.dis_users where user_username = username; 
END 

Answer 1

程序不容易被SQL注入，但是您的查询是。

为了防止（和了解）SQL注入，请参阅我们的参考问题：

• How can I prevent SQL injection in PHP?

对于“几乎所有的职位对这个”你说你读过看起来他们没有很好地涵盖这个话题。我建议你选择更好的教材。

• SQL Injection Prevention Cheat Sheet（你需要能够读取不同语言编写的代码）