Mysqli-参数化查询是否足以防止XSS二阶攻击？

Question

我正在处理一个动态应用程序，我不确定参数化查询是否安全，不会受到XSS、二阶攻击？你能帮助我吗？谢谢

我以以下代码为例：

  $stmt = $mysqli->prepare("INSERT INTO tb (1, 2, 3, 4, 5, 6, 7) VALUES (?, ?, ?, ?, ?, ?, ?)");

    $stmt->bind_param('sssssss', $1, $2, $3, $4, $5, $6, $7);
    $stmt->execute();
    $stmt->close();

Answer 1

绝对不是。

请务必为此使用单独的库。你永远也做不到抓住所有角落的案子。

下面是一个简短的列表，列出了一些你需要对付的极端情况。

Answer 2

不。

参数化查询防止SQL注入；也就是说，它确保查询参数在SQL后端处理之前格式良好并正确转义。

XSS是另一类问题，输入应该被超文本标记语言清除；鉴于一个正确参数化的SQL值仍然可以包含标记，您需要额外的编码（例如htmlSpecialchars（））。