MySQL注入(inject)命令

Question

可用于在代码中进行注入(inject)的所有 MySQL 命令有哪些？

我已禁用 UNION 和 CONCAT。

我有一个非常基本的应用程序，因此不需要任何复杂的查询，那么我还可以禁用什么以确保注入(inject)不是问题？

是的，据我所知，我已经清理了所有变量。问题是这是一个多方参与的项目，我注意到在一些我曾与之合作的库中工作草率。

我正在考虑让所有后变量清理它们并将它们放回去，但由于某些后变量的复杂多维性质，这将是一项相当复杂的任务。

Answer 1

几乎任何类型的 SQL 语句都可以注入(inject)。
避免注入(inject)的唯一安全方法是使用准备好的语句并将数据绑定(bind)到查询参数。