php - 我可以用这段代码被黑吗？

Question

我购买了一个脚本，其中包含一些奇怪的代码。我是一名 PHP 初学者，但对清理输入数据等事情略知一二。

这是代码:

<form action="sendpass.php" method="post" id="sendpassform">
<input type="text" name="email" />
<input type="submit" name="sendpass" value="Send" />
</form>
?>

...
if($_REQUEST['email'] != ''){
  $email = $_REQUEST['email'];
  $k = mysql_query("SELECT * FROM users WHERE email='".$email."'") or die(mysql_error());
  $result= mysql_fetch_array($k);
  ....
}

我很好奇的是，是否有人可以使用此表单破解网站，因为电子邮件字段只是通过任何转义直接传递给 SQL...

Answer 1

是的。这称为 SQL 注入(inject)。用户提供的值直接包含在 SQL 语句中的任何地方都是可能的。