Mysql攻击防范

Question

我目前正在为一项服务开发 API，想知道这是否足够安全以防止对数据库的注入(inject)和/或其他恶意攻击。

$username = mysql_real_escape_string(ereg_replace("[^A-Za-z0-9]", "", $_REQUEST['username']));
$password = mysql_real_escape_string(ereg_replace("[^A-Za-z0-9]", "", $_REQUEST['password']));

它所做的是去除除字母和数字以外的所有内容，然后运行 ​​mysql_real_escape_string 命令以运行精细梳理，以防万一。

Answer 1

跳过已弃用的 ereg_replace()功能，只需使用 mysql_real_escape_string() .

此外，为什么要将用户密码限制为字符子集。这只会让闯入变得更加容易。