关于php中sql注射的有关问题
程序员文章站
2022-05-22 11:26:05
...
关于php中sql注射的问题
我自己做了个小论坛，偶然发现了可以注射比如：http://localhost/BBS/detail.php?articalID=4
目的是：显示文章ID为4的帖子，我现在在后面加上这样一句话就遍了样：http://localhost/BBS/detail.php?articalID=4 or 1=1,返回的结果是所有的帖子都显示出来了，后来我在网上看到了这样一个函数：
，结果使用了自定义函数之后报错了，这个MySQL_real_escape_string能给个详细的用法吗？
怎么防止注射？
------解决方案--------------------
我自己做了个小论坛，偶然发现了可以注射比如：http://localhost/BBS/detail.php?articalID=4
目的是：显示文章ID为4的帖子，我现在在后面加上这样一句话就遍了样：http://localhost/BBS/detail.php?articalID=4 or 1=1,返回的结果是所有的帖子都显示出来了，后来我在网上看到了这样一个函数：
- PHP code
function safe($string){return "'" . MySQL_real_escape_string( $string ) . "'";}
，结果使用了自定义函数之后报错了，这个MySQL_real_escape_string能给个详细的用法吗？
怎么防止注射？
------解决方案--------------------
- PHP code
function safe($string=null){ return addslashes($string);}
------解决方案--------------------
一般来说，外部(POST,GET)获取的整数类型的值使用前加 intval()转换，字符串类型的加上 mysql_real_escape_string()过滤就可以了。
推荐一篇相关的文档，IBM网站上的：
确保 PHP 应用程序的安全 不能违反的四条安全规则
声明：本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn核实处理。
相关文章
相关视频