我的代码是否安全，不会受到 SQL 注入的影响

Question

这是我当前的代码

$search=$_GET["Search"];
$search = addcslashes(mysql_real_escape_string($search), '%_');

此代码是由 DREAMWEAVER CS4 从这里生成的

if (!function_exists("GetSQLValueString")) {
    function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "") 
    {
      if (PHP_VERSION < 6) {
        $theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue;
      }

  $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue);

  switch ($theType) {
    case "text":
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
      break;    
    case "long":
    case "int":
      $theValue = ($theValue != "") ? intval($theValue) : "NULL";
      break;
    case "double":
      $theValue = ($theValue != "") ? doubleval($theValue) : "NULL";
      break;
    case "date":
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
      break;
    case "defined":
      $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue;
      break;
  }
  return $theValue;
}
}

mysql_select_db($database_Echos, $Echos);

SQL 语句查询数据库

$query_Recordset1 = "SELECT catelogue.ARTIST, catelogue.TITLE, catelogue.`CAT NO.`, catelogue.FORMAT, catelogue.`IMAGE PATH` FROM catelogue WHERE catelogue.TITLE LIKE '%$search%'";

更多 Dremweaver 代码

 $Recordset1 = mysql_query($query_Recordset1, $Echos) or die(mysql_error());
    $row_Recordset1 = mysql_fetch_assoc($Recordset1);
    $totalRows_Recordset1 = mysql_num_rows($Recordset1);

在此之后，数据以表格格式显示

我还是新手这一切，最近几天发现，你可以将语句放入我的搜索词中，并毁掉 8 个月的数据库工作。这并不是说数据库没有备份，但我宁愿安全也不抱歉。

我读过，准备好的语句是阻止这种情况的最佳方法 如何我可以防止 PHP 中的 SQL 注入吗？。

但正如我所说，我对此很陌生，对此了解甚少。

所以简单地说，DW 创建的代码足够安全，

是否应该更改一些内容以使其更简单

？如果不够安全，我该如何使其更安全？

我在这里使用准备好的语句吗？如果是的话，有人可以在这里解释一下如何使用它

请提供任何帮助，我们将不胜感激

Answer 1

您的代码遭受了很多不良做法的困扰，但它并不像我习惯看到的常见 PHP 代码那样完全不安全或完全糟糕。

简而言之 - 您不想使用 PHP 的 mysql_ 函数。您应该做的是使用 PDO。

mysql_real_escape_string 是安全的，但不是 100%。要获得更好的解释，请参阅解释何时 mysql_real_escape_string 容易受到攻击的链接。

因此，您要做的就是使用 PDO 创建准备好的语句，然后绑定输入值。 PDO 根据所使用的字符集和数据库来清理它们，这使得它 100% 安全，不用担心您是否错过了某些内容。