MySQL 安全检查

Question

晚上好，

在我启用我的网站之前，我显然想确保它是安全的(或尽可能安全)。

我有一个搜索表单，一个用户可以将条目上传到数据库的机会，我想仅此而已。

所以我只想检查我应该做些什么来保护事物。首先，我的数据库由专用用户帐户(不是管理员或根用户)访问，所以我认为我已经锁定了这部分内容。

其次，在我所有的搜索查询中，我都有这种格式:

$result = mysql_query(
"SELECT *
FROM table 
WHERE fieldname = '" . mysql_real_escape_string($country) . "' 
AND county = '" . mysql_real_escape_string($county) . "'
ORDER BY unique_id DESC");

最后，在我的提交表单中的 $_POST 字段上，我在将变量插入数据库之前对其进行处理:

$variable = mysql_real_escape_string($variable);
$result = mysql_query(
"INSERT INTO table (columnone)
VALUES ($variable)";

谁能告诉我我还应该考虑什么，或者这是否可以接受？

一如既往地提前致谢，丹

Answer 1

代码看起来不错，但如果可能的话，您应该考虑使用 PDO 准备语句。

除此之外，请确保您的 PHP 代码用于连接 MySQL 的任何帐户都具有绝对最小的权限。大多数面向网络的脚本不需要更改/删除/创建类型权限。大多数只需更新/插入/选择/删除就可以逃脱，甚至更少。这样，即使您的代码级安全出现严重错误，恶意用户也无法向您发送 ';删除表学生 -- 类型查询(回复:bobby-tables.com)