`mysqli_real_escape_string` 足以防止 SQL 注入嗎？

mysqli_real_escape_string 足以防止 SQL 注入嗎？

問題：

在提供的 PHP 中程式碼，使用 mysqli_real_escape_string 是否足以防止SQL注入攻擊？

  $email= mysqli_real_escape_string($db_con,$_POST['email']);
  $psw= mysqli_real_escape_string($db_con,$_POST['psw']);

  $query = "INSERT INTO `users` (`email`,`psw`) VALUES ('".$email."','".$psw."')";

答案：

不，只依賴mysqli_real_escape_string不足以防止SQL注入和其他SQL攻擊。

Prepared statements 為防止 SQL 注入提供了更強大的解決方案。它們將資料和指令分開，確保使用者提供的輸入不會幹擾查詢的結構。

對於無法使用準備好的語句的情況，為特定目的實施嚴格的白名單可以提供一些保護。這涉及為每個參數定義可接受值的預定列表，以防止惡意輸入。

使用白名單和類型轉換的範例：

switch ($sortby) {
    case 'column_b':
    case 'col_c':
        // Safe to use
        break;
    default:
        $sortby = 'rowid';
}

$start = (int) $start;
$howmany = (int) $howmany;
if ($start < 0) {
    $start = 0;
}
if ($howmany < 1) {
    $howmany = 1;
}

// Execute the query using prepared statements
$stmt = $db->prepare(
    "SELECT * FROM table WHERE col = ? ORDER BY {$sortby} ASC LIMIT {$start}, {$howmany}"
);
$stmt->execute(['value']);
$data = $stmt->fetchAll(PDO::FETCH_ASSOC);

確保準備好的語句與模擬準備已關閉，特別是使用 MySQL 時。

$db->setAttribute(\PDO::ATTR_EMULATE_PREPARES, false);

以上是`mysqli_real_escape_string` 足以防止 SQL 注入嗎？的詳細內容。更多資訊請關注PHP中文網其他相關文章！