php - 这个 PostgreSQL 查询容易受到攻击吗？

Question

使用 pg_escape_literal PHP 函数，我按如下方式转义我的用户输入数据:

  <?php
  $dbconn = pg_connect('dbname=foo');
  $escaped = pg_escape_literal($_GET['name']);
  pg_query("INSERT INTO participants (name) VALUES ({$escaped})");
  ?>

作为 PostgreSQL 的新手，我的问题是:

• 有没有办法在给定这段代码的情况下实现 SQL 注入(inject)？
• 此代码中是否还有其他未处理的漏洞？

使用 PHP 5.4 和 PostgreSQL 9.2。

Answer 1

由于您不信任任何用户输入并且相应地对其进行了转义，因此其中没有注入(inject)。此外，您可以使用 prepared statements以确保您不会忘记任何转义，并为句子采用正确的数据类型。

请记住，如果您只忘记了 1 次转义，那么您的整个系统都会受到损害，尽管它可能会逃脱所有其余部分。