javascript - 通过白名单实现 SQL 安全

Question

在我的应用程序的注册页面上，有一个用户名字段。我想防止 SQL 注入(inject)攻击，同时允许复杂的名称，例如 Aldéric D'Aurve-Sanct，其中包含用作撇号的单引号。

如果我使用 regex string like this one 将名称列入白名单，然后我可以使用双引号(名称中不允许使用)来完全转义字符串吗？换句话说，当用双引号引起来时，使用包含单引号但不包含其他控制字符的字符串是否安全？这种简单的解决方案是否可能引入任何漏洞？

注意:我不想在这种情况下使用准备好的语句。

Answer 1

如果你真的不能使用准备好的语句，永远不要逃避自己，如果你需要的话，有一些函数可以做到这一点。

例如，如果您使用 php PDO，请使用 PDO::quote : https://secure.php.net/manual/en/pdo.quote.php

但是，如果可能的话，请使用准备好的语句:

• 无需列入黑名单
• 无需逃避
• 无注入(inject)风险
• 一切都被允许