php - 我担心 SQL 注入(inject)。这样安全吗？

Question

我正在启动一个非常基本的网站，它使用单行表单将内容发布到数据库中，然后在页面上回显 $comment 变量。我不知道 PDO，但如果我真的需要它来做这么简单的事情，我愿意学习。

else
mysql_query("INSERT INTO posts (postid, post_content)
VALUES ('', '$comment <br />')");
}
mysql_close($con);

在这段代码之上，我有基本的 strpos 命令来屏蔽一些我不想发布的内容。

我这样做以后会不会遇到任何注入(inject)问题？

Answer 1

不，这不安全，你需要使用mysql_real_escape_string转义$comment。

但是，PDO 并不难，而且可以使您的代码更强大。

// create the connection. something like mysql_connect/mysql_error
try {
    $dbh = new PDO($dsn, $user, $password);
} catch (PDOException $e) {
    echo 'Connection failed: ' . $e->getMessage();
}

// create the prepared statement.
$stmt = $dbh->prepare("INSERT INTO posts (postid, post_content) VALUES (?, ?)");
// execute it with parameters.
$stmt->execute(array('', $comment.'<br>'));