null列保护免受sql注入

Question

嗨，我在我的网站有一个联系表单，用户可以选择性地填写一些字段，并在点击提交按钮数据保存到数据库，所有这一切工作正常，直到我决定从SQL注入消毒我的代码，我在第一次试图从SQL注入消毒它，它工作正常，因为我表现出下面的代码之前提到

<form method="Post" action=""> 
 
     <input type="text" name="name" />name 
 
     <select dir="rtl" style="width: 173px;" name="case" > 
 
     <option value="" disabled selected hidden>اplease choose</option> 
 
     <option value='rent'>rent</option> 
 
     <option value='sell'>sell</option> 
 
      </select > 
 
      <input type="checkbox" name="check1" value='a'>apartment<br> 
 
     <input type="submit" value="submit" /> 
 
     </form> 
 
<?php 
 
include("config.php"); 
 
    if(isset($_POST['submit'])){ 
 

 
     $date_clicked = date('Y-m-d H:i:s'); 
 

 
    } 
 
    //insert to database 
 
    \t $insert =mysqli_query($connect,"INSERT INTO $db_table VALUES (to simplify code i do not write this part)"); 
 

 
    } 
 
    ?>

现在我必须填写所有的下拉列表和复选框，否则它给出错误“列”不能为空“。我也不能在数据库中插入日期和时间，它会给出同样的错误。这里是我的代码时，我保护它弗朗SQL注入：

<form method="Post" action=""> 
 
    <input type="text" name="name" />name 
 
    <select dir="rtl" style="width: 173px;" name="case" > 
 
    <option value="" disabled selected hidden>اplease choose</option> 
 
    <option value='rent'>rent</option> 
 
    <option value='sell'>sell</option> 
 
     </select > 
 
     <input type="checkbox" name="check1" value='a'>apartment<br> 
 
    <input type="submit" value="submit" /> 
 
    </form> 
 

 
    <?php 
 
    include("config.php"); 
 
    if(isset($_POST['submit'])){ 
 

 
     $date_clicked = date('Y-m-d H:i:s'); 
 

 
    } 
 
    if(isset($_POST['submit'])){ 
 
    //insert to database 
 
    $query = mysqli_prepare($connect, "INSERT INTO $db_table VALUES (?,?,?,?)"); 
 
     /* bind parameters for markers */ 
 
     mysqli_stmt_bind_param($query, "ssss", $_POST[name],$_POST['check1'],$_POST['case'],$_POST['date_clicked']); 
 
    // execute query 
 
    if (mysqli_stmt_execute($query)) { 
 
     echo "Successfully inserted " . mysqli_affected_rows($connect) . " row"; 
 
    } else { 
 
     echo "Error occurred: " . mysqli_error($connect); 
 
    } 
 

 
    } 
 

 

 
    ?>

请帮我

Answer 1

确保您存在变数。这是必要的，因为您的复选框，例如，如果不选中，它将为空，这可能是您正在使用的表的问题。您可以设置默认值，然后插入它。

$name = !empty($_POST['name']) ? $_POST['name'] : ''; 
$check1 = !empty($_POST['check1']) ? $_POST['check1'] : ''; 
$case = !empty($_POST['case']) ? $_POST['case'] : ''; 
$date_clicked = date('Y-m-d H:i:s'); 

// prepare and bind 
$stmt = $connect->prepare("INSERT INTO `$db_table` (`name`, `check1`, `case`, `date_clicked`) VALUES (?, ?, ?, ?)"); 
$stmt->bind_param("ssss", $name, $check1, $case, $date_clicked); 

$stmt->execute(); 
$stmt->close();