php - SQL注入(inject): is this code safe?

Question

我有一个API服务器，我需要将所有获取的数据放入数据库

我在连接到数据库后使用此代码:

foreach ($_GET as $key => $value)
$_GET[$key] = mysql_real_escape_string($value);

我的代码安全吗？

Answer 1

不，您的代码不安全!因为我们看不到您如何将数据放入查询中 - 这是最重要的事情。

你可能会做错很多事，比如:

$sql = "INSERT INTO {$_GET[table]} ({$_GET[column]}) VALUES ('{$_GET[value]}')";

只有最后一个值被安全转义，前两个不是!

此外，mysql_real_escape_string() 评估正在进行的数据库连接的编码设置。你以前连接过数据库吗？设置编码了吗？

最后:在真正需要之前不要逃避。过早转义会导致各种问题，因为预先转义的数据可能同时用于其他用途。