这个查询注入证明吗？

Question

我正在使用 PDO 与我的数据库对话，我想知道转换这样的类型

$dbh->query("SELECT * FROM recipes WHERE id=".(int)$id);

是否足以防止 sql 注入？在这种情况下 $id 始终是整数。

我还想知道如果变量是字符串，什么是防止在此类语句中注入的好方法。

Answer 1

是的。强制转换为 int 可防止所有令人讨厌的 SQL 注入可能性。

如果变量是字符串，则应使用 准备好的语句 来传递它。

$sql = 'SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour';
$sth = $dbh->prepare($sql);
$sth->execute(array(':calories' => 150, ':colour' => 'red'));
$red = $sth->fetchAll();

Answer 2

由于您已经在使用 PDO，更好的方法是使用：

• 准备好的语句< /a>

这要好得多：

$dbh->prepare("SELECT * FROM recipes WHERE id = ?");
$dbh->bindParam(1, (int) $id);
// more code.....

Answer 3

您必须在查询中转义表名和字段名：

$dbh->query("SELECT * FROM `recipes` WHERE `id=`'".(int)$id."'");

Answer 4

由于您专门将 $id 转换为整数，因此它是安全的。对于字符串（或任何其他数据类型），您需要在执行查询之前对其进行转义；看看 PDO::quote。

Answer 5

是的，如果参数预期为整数，则绑定到整数足以防止 SQL 注入。

您还可以使用自动 SQL 注入工具来检测它。

Answer 6

但要小心，在 PHP 中 (int) 会将 NULL 转换为 0。

因此，如果您的应用程序中与 ID 0 存在显着关联，则可能会无意中触发该值。