ssl - 单独使用 SSL 是否可以防止 SQL 注入(inject)？

Question

我正在努力加强我的应用程序的安全性，我计划做的第一件事是通过 SSL 为整个应用程序提供服务。我想知道如果它是我为保护应用程序而采取的唯一措施，它有多安全。

例如，假设我有以下前端代码:

<input id="password" value="my_password_value" />
<script>
    $(document).ready(function(){
        $('#password').blur(function(){
            location.href = 'my_backend_script.php?password=' + $('#password').val();
        });
    });
</script>

然后在我的后端脚本中我有:

$user_ID = 1;
$password = $_GET['password'];
$USER_edit = mysql_query("UPDATE USERS SET password='$password' WHERE id='$user_ID'");

如果上述示例在 SSL 连接下运行，它是否可以免受任何 SQL 注入(inject)攻击？

注意:我意识到准备好的语句是防止注入(inject)攻击的标准，并且会实现最佳实践，但我只是好奇 SSL 作为独立解决方案的安全性如何。

快速回答:不，SSL 不会防止 SQL 注入(inject)攻击。

Answer 1

SSL 只保护客户端和服务器之间的传输 channel 。但是客户端仍然可以通过该安全通道发送恶意数据。