php - 基本的PHP sql注入(inject)问题

Question

我一直在对 SQL 注入(inject)进行一些研究，到目前为止，我所看到的是当您将查询字符串与变量连接时，您会遇到问题。

我的问题是:

如果我有这段代码:

$query  = "SELECT id, name, inserted, size FROM products";
$result = odbc_exec($conn, $query);

我会受到 sql 注入(inject)吗？我不这么认为，但我在 stackoverflow 上找到了一篇帖子，表明它是。

现在如果我有这段代码:

$variable = "name";
$query = "SELECT"' .$variable. ' FROM products";
$reulst = odbc_exec($conn, $query);

我还在接受注入(inject)吗？在我看来，我可以完全控制该变量，并且代码在服务器端运行，这样是安全的。这是正确的吗？

在此先感谢您的任何意见!

Answer 1

如果您的输入来自您不信任的来源，则 SQL 注入(inject)通常是一个问题。鉴于您的两个示例都不是这种情况，就恶意攻击而言，您没有问题。

但是，即使您控制它，在将其插入查询字符串之前转义 $variable 也是一种很好的做法。