php - 网站发现SQL注入(inject)漏洞

Question

我们似乎在我们的一个网站上发现了 SQL 注入(inject)漏洞。他们运行的 SQL 查询如下:

select * from jobs where jobs.status='on' and industry_id=''

如果用户将行业值(在 URL 中)更改为以下值，则会在搜索结果中输出数据库的名称。

-1' UNION SELECT concat(user(),0x3a3a,database()),2,3,4,5,6,7,8,9,10,11,12,13,14-- -

构建这部分 SQL 查询的 PHP 代码是:

$extra_sql = "and industry_id='".mysql_real_escape_string($_GET['industry'])."'";

我认为如果使用mysql_real_escape_string()转义一个值，那么这是不可能的，因此我有几个问题:

1. 我们如何解决这个安全问题？
2. 除了检查每个 SQL 查询之外，还有其他快速方法可以解决此问题吗？

提前致谢。

Answer 1

改成这样

$industryID = (int) trim($_GET['industry']);

$extra_sql = "and industry_id='".$industryID."'";