php - 我该如何改进这段代码

Question

关闭。这个问题需要更多 focused .它目前不接受答案。












想改进这个问题？更新问题，使其仅关注一个问题 editing this post .

4年前关闭。




Improve this question




我在我的用户类中添加了这个功能。

难道这个函数放在User Class 中是对的。

我应该如何处理这个函数中的数据库查询错误。

或者我可以使用任何数据库类来执行有用的查询。

它应该返回什么来调用函数。

请帮忙。谢谢

    function adduser() {

        // Storing data in database
         $sql = "INSERT INTO users  (   alias,  firstname,  lastname,   PASSWORD,email  )
            VALUES  (   '$this->alias',     '$this->firstname',     '$this->lastname',  AES_ENCRYPT('$this->password','text'),'$this->email'    );";
        $result = mysql_query($sql);

        $this->userid=mysql_insert_id();

        //make profile card in cards table...
        $sql="INSERT INTO cards ( userid_from,  userid_to,  eventid,    gibid, 
            card_type,  message ,status,isDeck) VALUES  (   '$this->userid',    '$this->userid',    'eventid',  '$spaceid',     'V', '','A','Y' )"  ;   
        @mysql_query($sql);     
        $id_card=mysql_insert_id(); 

        $systemgibid=systemgibid();
        //make system gib card in cards table...
        $sql="INSERT INTO cards ( userid_from,  userid_to,  eventid,    gibid, 
            card_type,  message ,status,isDeck) VALUES  (   '',     '$this->userid',    'eventid',  '$systemgibid',     'A', '','A','N' )"  ;   
        @mysql_query($sql);     


        $this->firstname=$this->firstname."\'s Gib";
        //create gibs define in connection.php type D for default gib
        creategib($this->firstname,'D',$this->userid);


    }

Answer 1

最大 您可以做的就是使用准备好的语句来保护您的 SQL。现在，您很容易受到经典 SQL 注入(inject)漏洞的攻击。

更多关于准备好的陈述:
http://php.net/manual/en/pdo.prepared-statements.php

如果你不想使用 PDO，至少使用 mysql_real_escape_string