欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  后端开发

关于php中sql注射的有关问题

程序员文章站 2024-01-03 22:08:40
...
关于php中sql注射的问题
我自己做了个小论坛,偶然发现了可以注射比如:http://localhost/BBS/detail.php?articalID=4

目的是:显示文章ID为4的帖子,我现在在后面加上这样一句话就遍了样:http://localhost/BBS/detail.php?articalID=4 or 1=1,返回的结果是所有的帖子都显示出来了,后来我在网上看到了这样一个函数:
PHP code
function safe($string)
{
return "'" . MySQL_real_escape_string( $string ) . "'";
}


,结果使用了自定义函数之后报错了,这个MySQL_real_escape_string能给个详细的用法吗?

怎么防止注射?

------解决方案--------------------
PHP code


function safe($string=null)
{
 return addslashes($string);
}

------解决方案--------------------
一般来说,外部(POST,GET)获取的整数类型的值使用前加 intval()转换,字符串类型的加上 mysql_real_escape_string()过滤就可以了。

推荐一篇相关的文档,IBM网站上的:
确保 PHP 应用程序的安全 不能违反的四条安全规则
关于php中sql注射的有关问题

声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn核实处理。

相关文章

相关视频


上一篇:

下一篇: