php - 这个php代码安全吗？

Question

我知道我应该使用准备好的语句，但我的下一个项目将使用准备好的语句，我只需要完成这个简单的小应用程序。

所以我的问题是:

下面这段代码安全吗？

我使用了 htmlentities 以及 mysql_real_escape_string，因为我认为这是一个安全的选择。

//Image 
$imageInput = $_POST['Image'];
$imageClean = htmlentities($imageInput, ENT_QUOTES, 'UTF-8');



//Inserts values into relevant field and creates a new row.
mysql_query("UPDATE ***** SET image='" . mysql_real_escape_string($imageClean) . "'     WHERE id=" . mysql_real_escape_string($idClean) . "");

为 $idClean 添加代码是:

//Id to change
if(ctype_digit($_POST['testimonial']))
{
    $idInput = $_POST['testmonial'];
    $idClean = htmlentities($idInput, ENT_QUTOES, 'UTF-8');
}

感谢您的帮助。

p.s 如果你能建议添加一些东西那就太好了。

Answer 1

取决于您的 $idClean 有多干净。

WHERE id=" . mysql_real_escape_string($idClean) . "

mysql_real_escape_string only prepends backslashes to \x00, \n, \r, \, ', " and \x1a , 但它不会阻止攻击者使用

$idClean = "1 OR 1=1 AND POSSIBLY OTHER SQL STATEMENTS"

而不是 mysql_real_escape_string 你应该把它转换成一个 int。