php - 通过 ajax 使用 javascript 和 php 来运行 MySQL 查询

Question

我正在查看我的项目中的一些代码，并考虑我使用 ajax 调用的所有 php 页面，这些页面只运行一个简单的更新或插入查询，这让我思考。如果我基本上可以从 javascript 运行插入或更新 sql 查询会怎样。

假设我在服务器端使用 ajax 和 php 的原型(prototype) javascript 框架。

这行得通吗？

js:

<script type="text/javascript">
// table is string containing table name
// fields is an array of field names
// values is an array of values
function mysql_insert(table,fields,values) {
    var sql = "INSERT INTO " + table + "(";
    for(i=0; i<fields.length; i++) {
        sql = sql + "`"+fields[i]+"`";
    }
    sql = sql + ") VALUES (";
    // purposefully used fields array in for loop so we get matching number of values
    for(i=0; i < fields.length; i++) {
        sql = sql + "'"+values[i]+"'";
    }
    sql = sql + ");";

    var par = 'query='+sql;
    var ajax = new Ajax.Request('sql.php',{method:'post',parameters:par,onComplete:function(res) { }});
}
</script>

PHP:

<?php
    include('db.php');  // connect to the mysql server and select database
    mysql_query($_POST['query']);
?>

显然这是一个简单的示例，只是想知道这是否可行，我是否可以替换许多每个运行单独查询的小 php 页面？

Answer 1

不要那样做!

它将允许任何人使用您的数据库为所欲为!

他可以向您的数据库发送任何 sql 命令。