执行SQL查询时，您必须清理字符串，否则用户可以在您的网站上执行恶意SQL。
我通常只有一个函数escape_string（blah），该函数：
将转义符（\）替换为双转义符（\）。 '用转义的单引号（'）替换单引号（）。 这样够吗？我的代码中有漏洞吗？是否有一个图书馆可以为我快速可靠地做到这一点？
我想在Perl，Java和PHP中看到优美的解决方案。
问题来源于stack overflow
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
在PHP中，我正在使用此代码，对此我将不胜感激：
function quote_smart($valeur) { if (get_magic_quotes_gpc()) $valeur = stripslashes($valeur);
if (!is_numeric($valeur))
$valeur = mysql_real_escape_string($valeur);
return $valeur;
}
$IdS = quote_smart($_POST['theID']); $sql = " SELECT * FROM Students WHERE IdStudent={$IdS}; "; 如果字段可以为NULL，则需要再次验证：
$picture = NULL; $theidyouwant = 7; $Name = 'WOOD';
if(is_null($picture)) $p = 'NULL'; else $p = "'".quote_smart($picture)."'";
$IdS = quote_smart($theidyouwant);
$requete = "SELECT * FROM Students WHERE IdStudent={$IdS} AND PictureStudent={$p} AND NameStudent='{$Name}'; ";
评论
全部评论 (0)