PHP 与SQL：保护此查询免受 SQL 注入的最佳方法，而不是使用 PDO

发布于 2024-09-28 07:27:10 字数 262 浏览 6 评论 0原文

我有一个针对 mssql 数据库运行的查询，但我没有使用 PDO 驱动程序。我可以使用类似准备好的声明吗？

这是查询：

$tsql = "INSERT INTO cplinktable (liferayid, bmsid, autotaskid, waspdb, cpid) VALUES ($liferayid, $bmsid, $autotaskid, '$waspdb', $cpid)";

谢谢，

琼斯

原文

I have a query which is run against a mssql database and I'm not using PDO drivers. Is there something like prepared statement i can use?

Here is the query:

$tsql = "INSERT INTO cplinktable (liferayid, bmsid, autotaskid, waspdb, cpid) VALUES ($liferayid, $bmsid, $autotaskid, '$waspdb', $cpid)";

thanks,

Jonesy

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

我爱人 2024-10-05 07:27:10

Microsoft SQL Driver for PHP 提供了准备好的语句：

回复收藏 0 原文

蓝颜夕 2024-10-05 07:27:10

您至少应该转义这些值。

PHP 手册 - mysql_real_escape_string

回复收藏 0 原文

慵挽 2024-10-05 07:27:10

$query = sprintf("INSERT INTO cplinktable (liferayid, bmsid, autotaskid, waspdb, cpid) VALUES ('%s','%s','%s','%s','%s')",
            mysql_real_escape_string($liferavid),
            mysql_real_escape_string($bmsid),
            mysql_real_escape_string($autotaskid),
            mysql_real_escape_string($waspdb),
            mysql_real_escape_string($cpid));

$query = sprintf("INSERT INTO cplinktable (liferayid, bmsid, autotaskid, waspdb, cpid) VALUES ('%s','%s','%s','%s','%s')",
            mysql_real_escape_string($liferavid),
            mysql_real_escape_string($bmsid),
            mysql_real_escape_string($autotaskid),
            mysql_real_escape_string($waspdb),
            mysql_real_escape_string($cpid));

回复收藏 0 原文

梦明 2024-10-05 07:27:10

它就像在字符串上使用 mysql_real_escape 和在数字/整数/双精度上使用 mysql_real_escape 一样简单，

(int)$number; //Safe
(double)$double; //Safe
mysql_real_escape_string($string); //Safe

这用于您插入数据库的每条数据都是安全的

its as simple as useing mysql_real_escape on strings and typecasting on digits / ints / doubles

(int)$number; //Safe
(double)$double; //Safe
mysql_real_escape_string($string); //Safe

This used on every piece of data you insert into your database will be safe

回复收藏 0 原文

碍人泪离人颜 2024-10-05 07:27:10

尝试使用 sprint() 准备语句

$tsql = "INSERT INTO cplinktable (liferayid, bmsid, autotaskid, waspdb, cpid) VALUES (%d, %d, %d, '%s', %d)";

$tsql = sprintf($tsql, $liferayid, $bmsid, $autotaskid, $waspdb, $cpid);
echo $tsql; // you would execute this but printing to the screen to show the query

Try Prepare Statements with sprint()

$tsql = "INSERT INTO cplinktable (liferayid, bmsid, autotaskid, waspdb, cpid) VALUES (%d, %d, %d, '%s', %d)";

$tsql = sprintf($tsql, $liferayid, $bmsid, $autotaskid, $waspdb, $cpid);
echo $tsql; // you would execute this but printing to the screen to show the query

回复收藏 0 原文

~没有更多了~