php - MYSQL区间查询SQL注入(inject)

Question

我有这个简单的 MYSQL 查询:

SELECT * FROM table WHERE date > now() - INTERVAL $hours HOUR

$hours 是一个 PHP GET 变量。在查询中使用此变量之前，我是否必须对其进行任何检查以避免 SQL 注入(inject)，或者它是否足够安全？我使用 PDO 语句

Answer 1

像这样就好了:

$sth = $Db->dbh->prepare("SELECT * FROM 'table' WHERE date > now() - INTERVAL :hours"); $sth->execute(array(':hours'=>$hours,':secondThing'=>$variable));

这是一种逃避字符串的方法。这可能与您的代码不同，但执行和查询中的数组将相同(如果您使用 PDO。)