php - 不允许用户通过查询编辑数据库

Question

我制作了一个页面，用户可以在文本区域中输入查询，当他们单击提交按钮时，它会生成一个表格，其中填充了该查询的数据。

现在我想确保用户不能使用其他类型的查询，例如: INSERT 、 DROP 、 ALTER 、 UPDATE 、 RENAME 以及所有其他可以编辑数据库中的表的查询。

我找不到任何好的例子。 (或者没有搜索正确)

最好的方法是什么？

Answer 1

为此目的创建一个新用户。该用户应该只有 SELECT访问数据库。

GRANT SELECT ON database_name.* TO 'someuser'@'somehost';

利用此方法，您不必弄乱正则表达式(除非您想要客户端验证)，即使验证失败，数据库本身也会适本地处理权限。

您的表单需要使用 someuser 来连接并运行查询，而不是应用程序其余部分使用的用户。