我可以避免SQL注入吗？
我使用一个简单的cms作为我网站的后端，在那里我可以更新新闻等。我想对SQL注入安全，所以我想知道这段代码是否被认为是安全的，或者是否可以做一些使其更安全的事情：
if($_POST) {
if(isset($_POST['title']) and (isset($_POST['content']) and ($_POST['added']))) {
$title = "'".mysql_real_escape_string($_POST['title'])."'";
$content = "'".mysql_real_escape_string($_POST['content'])."'";
$added = "'".mysql_real_escape_string($_POST['added'])."'";
if(isset($_POST['id']) && $_POST['id']!=''){
$result = mysql_query("UPDATE news SET title = ".$title.", added =".$added.", content = ".$content." WHERE id = ".$_POST['id']);
$msg = "News Updated Successfully";
}else{
$result = mysql_query("INSERT INTO news (title, content, added) values($title, $content, $added)") or die("err0r");
$msg = "News Added Successfully";
}
}
谢谢，祝你有美好的一天！
问题答案：
您没有在消毒 $_POST['id']。
做一个intval()就可以了，或（更好）拒绝共处理如果ID不是整数（假设ID是一个int字段）。
if (!is_numeric($_POST['id'])
die ("Invalid ID");
-
什么是SQL注入 SQL注入攻击（SQL Injection），简称注入攻击，是Web开发中最常见的一种安全漏洞。可以用它来从数据库获取敏感信息，或者利用数据库的特性执行添加用户，导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统用户最高权限。 而造成SQL注入的原因是因为程序没有有效过滤用户的输入，使攻击者成功的向服务器提交恶意的SQL查询代码，程序在接收后错误的将攻击者的输入作为查询语句的
-
本文向大家介绍什么是sql注入？如何避免sql注入？相关面试题，主要包含被问及什么是sql注入？如何避免sql注入？时的应答技巧和注意事项，需要的朋友参考一下 用户根据系统的程序构造非法的参数从而导致程序执行不是程序员期望的恶意SQL语句。使用参数化的SQL就可以避免SQL注入。 详细参考复习ppt。举例子，摆事实！ 1' or 1=1
-
本文向大家介绍Java Web 如何避免 SQL 注入？相关面试题，主要包含被问及Java Web 如何避免 SQL 注入？时的应答技巧和注意事项，需要的朋友参考一下 使用预处理 PreparedStatement。 使用正则表达式过滤掉字符中的特殊字符。
-
问题内容： 我是JavaEE的新手，并试图通过检查数据库来学习制作一个简单的登录页面。这是代码示例： 它应该容易受到SQL注入的侵害吧？我可以通过在ASP.NET中使用参数化查询来做到这一点，如下所示： 有没有办法像这样在Java中使用参数化查询？谁能以参数化形式使用该查询来避免SQL注入？ 谢谢 问题答案： 是的，你可以做到这一点；例如：
-
问题内容： 在下面的示例代码中，表名称是一个输入参数。在这种情况下，如何避免使用进行SQL注入。下面是示例代码，我尝试使用它来避免它，但是它不起作用。谁能告诉我如何纠正它？ 输出：打印消息： 所有输入参数将完全替换，并删除一行。请让我知道如何处理这种情况。 问题答案： 您可以将表名包含在 但是，如果使用两部分命名约定，例如，则必须添加其他解析，因为这将导致： 无效的对象名称[dbo.tablena
-
问题内容： 这是我的代码： 有人可以告诉我它是否安全或是否容易受到SQL Injection攻击或其他SQL攻击吗？ 问题答案： 有人可以告诉我它是否安全或是否容易受到SQL Injection攻击或其他SQL攻击吗？ 正如uri2x所说的，请参阅SQL注入。 防止SQL注入的最佳方法是使用准备好的语句。它们将数据（您的参数）与指令（SQL查询字符串）分开，并且不会为数据留下任何空间污染查询的结构