下面的代码可以有效防止 sql 注入吗 ?
程序员文章站
2022-04-21 22:36:22
...
下面的代码可以有效防止 sql 注入吗 ?
大家一般是怎么做的 .
setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names 'utf8'");
$sql="select * from table where username = ? and password = ?";
$query = $dbh->prepare($sql);
$exeres = $query->execute(array($username, $pass));
if ($exeres) {
while ($row = $query->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
$dbh = null;
?>
回复内容:
下面的代码可以有效防止 sql 注入吗 ?
大家一般是怎么做的 .
setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names 'utf8'");
$sql="select * from table where username = ? and password = ?";
$query = $dbh->prepare($sql);
$exeres = $query->execute(array($username, $pass));
if ($exeres) {
while ($row = $query->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
$dbh = null;
?>
建议这样写, 能更有效的防注入
......
$sql="select * from table where username = ?";
......
while ($row = $query->fetch(PDO::FETCH_ASSOC) && $row['pass'] == $pass) {
print_r($row);
}
你的代码完全可以防止SQL注入,因为PDO就是SQL预处理的。
上一篇: 基于jquery实现在线选座订座之影院篇
下一篇: css中类选择器是如何使用的实例详解