我想做的是在 php 中構(gòu)建一個(gè)搜索功能，以從 mysql 數(shù)據(jù)庫(kù)中獲取數(shù)據(jù)。問(wèn)題是查詢是根據(jù)用戶輸入動(dòng)態(tài)生成的。我在與搜索參數(shù)匹配的表單中有幾個(gè)輸入字段，例如，我可以搜索產(chǎn)品的名稱或年份（分隔的輸入表單），或者我可以只搜索名稱或只搜索年份。我成功構(gòu)建了 SQL 查詢，并且可以成功地為有效的 select 語(yǔ)句傳遞值。但是我想用參數(shù)化查詢來(lái)防止 SQL 注入。這是我用來(lái)生成查詢的代碼片段：$searchKeyword = $_POST['searchKeyWord'];$year = $_POST['searchYear'];$location = $_POST['searchLocation'];$alcool = $_POST['alcol'];$query = "SELECT * FROM CAPS WHERE 1";if($searchKeyword != null) { $query.=" and name like '%$searchKeyword%' ";}if($year != null) { $query.="and year='$year' ";}if($location != null) { $query.="and location like '%$location%' ";}if($alcool != "none") { $query.=" and alcool='$alcool'";}它按原樣構(gòu)建查詢，我只能有一個(gè)帶輸入的字段，它類似于SELECT * FROM CAPS WHERE 1 AND name LIKE '%Cola%'` 或者也可以SELECT * FROM CAPS WHERE 1 AND name LIKE '%Cola%' AND year = '1999' AND location LIKE '%London%'我的問(wèn)題是：如果我將查詢中的“$variable”替換為“?”，如何根據(jù)生成的查詢插入輸入？
1 回答
holdtom
TA貢獻(xiàn)1805條經(jīng)驗(yàn) 獲得超10個(gè)贊
您的代碼容易受到 SQL 注入的影響。
由于您知道允許搜索的所有字段和操作，因此請(qǐng)使用白名單
/*
fieldname => operator
*/
$allowed = [
'alcool' => 'like',
'location' => 'like',
'year' => '=',
'name' => 'like',
];
// fake input (one unknown field)
$_POST['alcool'] = 'tee';
$_POST['location'] = 'home';
$_POST['password'] = 'hello';
$fields = [];
$queryParts = [];
$parameters = [];
foreach($allowed as $field => $op) {
if (isset($_POST[ $field ])) {
$fields[] = $field;
$value = $_POST[ $field ];
if ($op == 'like') { // prepare string for LIKE '%...%'
$value = sprintf('%%%s%%', $value); // =>
}
$queryParts[] = sprintf('`%s` %s ?', $field, $op);
$parameters[] = $value;
}
}
$searchSql = sprintf('SELECT id, alcool, location, year, ... FROM table WHERE %s', implode(' AND ', $queryParts));
echo $searchSql . PHP_EOL;
print_r($parameters);
輸出 ：
SELECT id, alcool, location, year, ... FROM table WHERE `alcool` like ? AND `location` like ?
Array
(
[0] => %tee%
[1] => %home%
)
與 PDO（或您正在使用的任何驅(qū)動(dòng)程序）一起使用
$pdo = new PDO(...);
$stmt = $pdo->prepare($searchSql);
if ($stmt) {
$stmt->execute($parameters);
while($row = $stmt->fetch()) {
// your results...
}
}
- 1 回答
- 0 關(guān)注
- 125 瀏覽
添加回答
舉報(bào)
0/150
提交
取消