在人们将访问的页面上运行此查询是否安全？

Question

抱歉，这可能是一个非常愚蠢的问题，但是在人们将要查看的页面上运行此代码是否安全，或者我应该将其包装到一个函数中并调用它？

$stmt = $db->prep_stmt("select * from .... where userid = ? and username = ?"); 

/* Binding 2 parameters. */
$stmt->bind_param("is", $userid, $username);

/* Binding 2 result. */
$stmt->bind_result($isbn, $title, $author, $coef, $bookid);

/* Executing the statement */
$stmt->execute( ) or die ("Could not execute statement");

/*
 * Making PHP buffer the whole result,
 * not recommended if there is a blob or
 * text field as PHP eats loads of memory
 */
$stmt->store_result();
while ($stmt->fetch()) {
 /*
  * Here you can use the variables $isbn, $title, $author, $coef, $bookid,
  * which contatin the data for 1 row.
  */
  print "<tr>".
  "<td>".$isbn."</td>".
  "<td>".$title."</td>".
  "<td>".$author."</td>".
  "</tr><tr><td>";

}

Answer 1

从安全角度来看，它们是相同的。这是软件设计的问题。但是，您可能需要考虑更好的错误处理（至少对于生产而言）。具体来说，实际上没有必要泄漏错误的原因（“无法执行语句”）。通常，您需要一个通用错误页面（“抱歉，服务器有问题！请尝试转到主页。”）。

Answer 2

如果我错了，请纠正我，但您似乎担心人们可以查看您的 PHP 代码，但您将其放在不同的文件中，并且

$dataAccessor = new MyDataAccessorObject();
$dataAccessor->checkUser($userId, $userName);

他们不会看到任何有意义的内容，对吗？

该代码是否是一个函数并不重要。即使在人们“查看”的 PHP 上，他们也看不到代码，只能看到渲染的 HTML。在 php 标签之间，影响用户点击“查看源代码”时可以看到的内容的唯一内容是回显或打印或其他内容。

尝试在这里查看 PHP，我敢！ http://lirr42.mta.info/schedules.php （这只是一个随机示例，与其他任何东西相比没有什么特别的）

您需要担心的安全问题是输入和 SQL 注入。看来你的参数化可以处理这个问题。我可以想象表单中的用户名或用户 ID，并且您需要确保某些混蛋不会输入像 blah' OR 1=1 这样的用户名并作弊。您准备好的语句和参数绑定应该可以处理该问题。如果您不确定可以使用 mysql_real_escape 进行清理