php - 今天 SQL 注入(inject)有风险吗？

Question

我一直在阅读有关 SQL 注入(inject)攻击以及如何避免它们的信息，尽管我似乎永远无法使给出的“糟糕”示例起作用，例如<强> see this post .

我在数据库中创建了一个 PHP 文件和一个表，通过 $_GET 传递了一个值，并尝试通过 bob') 删除该表；掉表学生； -- 但它没有用。 PHP 自动转义 \' 并且查询有错误，没有造成任何伤害。尝试复制登录“攻击”时出现同样的问题，例如 AND WHERE 1=1 等

示例代码:

<?php
$id = $_GET['id'];

$sql = "INSERT INTO Users (Username) VALUES ($id)";
echo $sql;
mysql_query($sql) or die(mysql_error());

我会通过 sql.php?id=1);从用户中删除； --

那么这是不是在 PHP3 时代或其他时代应用的一些过时的东西，现在即使是新手也受到保护，不受魔术引号之类的东西的影响？

我在 Ubuntu 上使用 PHP5。

Answer 1

恰恰相反。 魔术引号在 PHP5 中已弃用，将在 PHP 5.4 中完全删除，因为它们给编程世界带来的困惑比它们带来的好处更多。检查魔术引号是否处于事件状态，并在必要时谨慎地转义任何 SQL 输入，仍然非常非常重要......不过，没有理由感到难过，我们都去过那里，我不知道的屁股已经被无数的魔术引号拯救了次:)

PHP manual 魔术引语解释一切。