PHP 和 PostgreSQL : Avoiding cross-site scripting and SQL injection attacks

Question

当通过 PHP 将数据插入 PostgreSQL 数据库时，我应该将数据嵌入函数 pg_query 中的 sql INSERT 语句中，还是通过数据通过数组进入pg_insert函数？

我的猜测是 pg_insert，因为它只是将数据直接插入表中，而不是先查询表再插入。

请访问http://php.net/manual/en/book.pgsql.php供引用这2个功能。

Answer 1

为避免 SQL 注入(inject)，您希望调用接受 SQL 参数作为方法参数的方法。这样，您的SQL 库 就可以确保参数被正确转义。切勿通过“附加”字符串片段来构建您自己的 SQL 语句。如果这样做，您有责任对参数进行 SQL 转义。这很难做到正确。

因此，您应该更喜欢 pg_query_params(或 pg_insert)而不是 pg_query。

这是错误的(因为你必须记住转义 $arg1 参数。这很难。):

pg_query("INSERT INTO TABLE ... VALUES " . $arg1 . ";");

对(因为 PostgresQL 的聪明人知道如何转义您的参数):

pg_query_params("INSERT INTO TABLE ... VALUES $1", "FooBar");