php - 修复用于登录的 PHP MySQL 注入(inject)

Question

我有一个 PHP 脚本，可以在用户输入正确的登录凭据时将其登录到我的站点。但是，我注意到通过在密码框中输入 anything' OR 'x'='x 很容易注入(inject)此登录信息。

我怎样才能阻止这种情况发生？

$query = "SELECT * FROM sm_editors WHERE email = '".$_POST['email']."' AND password = '".$_POST['password']."' AND user_type != 'reader-for-approval'";

Answer 1

您首先需要清理输入以防止出现这种情况。

mysql_real_escape_string 函数将删除任何转义字符。

看看What's the best method for sanitizing user input with PHP?问题以获取更多信息。