参见英文答案 > Are PDO prepared statements sufficient to prevent SQL injection? 7个
正如标题所说:这段代码在sql注入时是否足够安全?
<?PHP
$hostname = "xxx";
$username = "xxx";
$dbname = "xxx";
$password = "xxx";
$usertable = "xxx";
$yourfield = "xxx";
$db = new PDO('MysqL:host='.$hostname.';dbname='.$dbname.'', $username, $password);
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$query = $db->prepare("INSERT INTO `$usertable` (first_name, last_name, username) VALUES (:first_name, :last_name, :username)");
$query->bindValue(':first_name', $_POST['first_name']);
$query->bindValue(':last_name', $_POST['last_name']);
$query->bindValue(':username', $_POST['username']);
$query->execute();
?>
解决方法:
如果您只使用上面代码中的准备语句,那么您就是安全的. AFIK没有其他可能通过sql注入破解您的网站.
准备语句会强制执行命令中的数据,因此不能将任何内容作为sql语句的一部分执行.
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。