PHP web应用当存在注入的情况下,如何写用户登录防止通过注入绕过登录
PHP web应用当存在注入的情况下,如何写用户登录防止通过注入绕过登录
假设条件不可改,不要回答防止注入
一般的2中写法
·
1
$sql = "select * from user where user_name=$username and password=$password";
$res = $db_obj->get_one($sql);
if($res){
//登录成功
}
·
·
2
$sql = "select * from user where user_name=$username";
$res = $db_obj->get_one($sql);
if($res[password]==md5($password)){
//登录成功
}
·
以上2中均可绕过,求安全写法
回复内容:
PHP web应用当存在注入的情况下,如何写用户登录防止通过注入绕过登录
假设条件不可改,不要回答防止注入
一般的2中写法
·
1
$sql = "select * from user where user_name=$username and password=$password";
$res = $db_obj->get_one($sql);
if($res){
//登录成功
}
·
·
2
$sql = "select * from user where user_name=$username";
$res = $db_obj->get_one($sql);
if($res[password]==md5($password)){
//登录成功
}
·
以上2中均可绕过,求安全写法
既然已经存在注入漏洞,不仅登录可以绕过,连你的数据库都是不安全的。如果知道你的表结构,插入一个管理员帐号也是很简单的事。所以关键还是要防注入,而不是注入以后怎么办。
最简单的
$sql = "select * from user where user_name='".addslashes($username)."'";
一般的写法难道不是使用 orm 读写数据库?
手写 sql,本身就不安全
使用PDO预处理语句

热AI工具

Undresser.AI Undress
人工智能驱动的应用程序,用于创建逼真的裸体照片

AI Clothes Remover
用于从照片中去除衣服的在线人工智能工具。

Undress AI Tool
免费脱衣服图片

Clothoff.io
AI脱衣机

AI Hentai Generator
免费生成ai无尽的。

热门文章

热工具

记事本++7.3.1
好用且免费的代码编辑器

SublimeText3汉化版
中文版,非常好用

禅工作室 13.0.1
功能强大的PHP集成开发环境

Dreamweaver CS6
视觉化网页开发工具

SublimeText3 Mac版
神级代码编辑软件(SublimeText3)

PHP 8.4 带来了多项新功能、安全性改进和性能改进,同时弃用和删除了大量功能。 本指南介绍了如何在 Ubuntu、Debian 或其衍生版本上安装 PHP 8.4 或升级到 PHP 8.4

CakePHP 是 PHP 的开源框架。它的目的是使应用程序的开发、部署和维护变得更加容易。 CakePHP 基于类似 MVC 的架构,功能强大且易于掌握。模型、视图和控制器 gu

Visual Studio Code,也称为 VS Code,是一个免费的源代码编辑器 - 或集成开发环境 (IDE) - 可用于所有主要操作系统。 VS Code 拥有针对多种编程语言的大量扩展,可以轻松编写
