假設(shè)我執(zhí)行一個(gè)操作 ：select * from users where user_name = ‘{$_POST['user_name']}’；問(wèn) ： 是不是只要?$_POST['user_name'] 里沒(méi)有單引號(hào) ， 就能防止sql注入 ？
6 回答
慕田峪3555374
TA貢獻(xiàn)137條經(jīng)驗(yàn) 獲得超18個(gè)贊
沒(méi)有這么簡(jiǎn)單，你這樣作用不大，記住一句話永遠(yuǎn)不要相信用戶輸入的數(shù)據(jù)，對(duì)于一切用戶輸入的數(shù)據(jù)進(jìn)行過(guò)濾判斷才對(duì)
慕田峪3555374
TA貢獻(xiàn)137條經(jīng)驗(yàn) 獲得超18個(gè)贊
不完全是，最好對(duì)接受的數(shù)據(jù)判斷處理后再寫(xiě)到語(yǔ)句里，你那沒(méi)處理是不行的，sql注入有多方面的，要多做多總結(jié)，而且，一般常用的就是對(duì)敏感詞的過(guò)濾，php自帶了很多這樣的函數(shù)
-
hhhzihao2不完全是嗎? 請(qǐng)舉個(gè)例子
添加回答
舉報(bào)
0/150
提交
取消