mysql:从客户端向服务器导入大量行

Question

我有一个生成潜在巨大表格的应用程序，各种客户端应该能够将数据发送到中央数据库。现在我正在考虑批处理请求并通过 php 发送它们，这可能是经典方法。我想知道，是否有确切的原因为什么我不应该让应用程序转储表，通过邮寄将转储上传到服务器并让服务器再次导入表？我担心安全问题，因为可以从互联网访问服务器，您可以将恶意代码放入 sql 转储中吗？如果是这样，您能否在导入前清理转储？

Answer 1

数据导入不能修改代码，但恶意数据可以包含在数据导入中。

那么您的应用程序使用数据的方式可能会冒着成为代码的风险。有两种常见的路径:

二次 SQL 注入(inject)。您查询一些数据，并将结果插入另一个字符串，然后将其作为查询或命令运行。

解决方案:使用 SQL 查询参数或白名单过滤所有不受信任的输入。

跨站点脚本 (XSS)。您查询一些数据并将其输出到网页中。如果数据包含内联 Javascript 表达式，可能会导致用户的浏览器无意中运行 Javascript 代码，从浏览器中捕获数据，并对该数据进行恶意操作。

解决方案:使用类似 htmlentities() 的函数过滤所有不受信任的输出，它通过转义 <script> 来击败 XSS标签。

您询问是否有某种方法可以在导入前清理转储。 也许。但这样做更有可能会过多地限制您的导入数据。也许数据合法地需要包含撇号和 <人物。

通常最好让数据按原样导入，但随后要小心如何使用数据，正如我上面所述。