使用 ObjC 中的 NSURLRequest 在 URL 中发送 SQL 查询

Question

我在尝试使用 Objective C 中的 NSURLRequest 类传递 SQL 查询时遇到了一个非常奇怪的问题。我能够发送一个简单的查询，该查询有效并返回正确的内容（JSON 格式）。 这是我的代码：

NSString *URLWithSQLQuery = [NSString stringWithString:@"http://localhost/querydatabase.php?query=INSERT+INTO+Table+(ID,Column1,Column2,Column3,Column4,Column5,Column6,Column7,Column8)+VALUES+(NULL,'a','b','','c','d','','1','2')"];
NSURLRequest *request = [NSURLRequest requestWithURL:[NSURL URLWithString:URLWithSQLQuery]];
NSData *response = [NSURLConnection sendSynchronousRequest:request returningResponse:nil error:nil];
NSString *data = [[NSString alloc] initWithData:response encoding:NSUTF8StringEncoding];
NSLog(@"%@", data);

这不会将虚拟值插入表中。 以下代码返回正确的内容：

NSString *URLWithSQLQuery = [NSString stringWithString:@"http://localhost/querydatabase.php?query=SELECT+*+FROM+Table"];
NSURLRequest *request = [NSURLRequest requestWithURL:[NSURL URLWithString:URLWithSQLQuery]];
NSData *response = [NSURLConnection sendSynchronousRequest:request returningResponse:nil error:nil];
NSString *data = [[NSString alloc] initWithData:response encoding:NSUTF8StringEncoding];
NSLog(@"%@", data);

当我粘贴 url http://localhost/querydatabase.php?query=INSERT+INTO+Table+(ID,Column1,Column2,Column3,Column4,Column5,Column6,Column7,Column8)+VALUES+(NULL,'a' ,'b','','c','d','','1','2') 进入我的浏览器，查询正确执行。所以我真的不知道问题出在哪里，因为它不是来自 PHP 脚本或 URLWithSQLQuery ，也不是来自我的 Objective C 代码。

任何想法将不胜感激。感谢大家的帮助。

斯科特

Answer 1

这个问题已经得到解答，但我认为值得向将来遇到这个问题的任何人以及问题的发布者指出一些事情：

不要通过你的 URL 发送实际的 SQL

这是一个巨大的问题 安全缺陷。如果没有进行大量的清理和验证，这些代码一旦被释放到野外，将使您的服务器和数据库完全开放以供利用。

我将假设您将查询字符串推入 mysql_query() 或其他任何内容，例如：

$query = mysql_query($_GET['query']);

任何找到您的 API 的人甚至不需要破解它，因为您已经完成了所有操作为他们辛苦工作。这就像建造诺克斯堡但让前门敞开一样。该建筑物可以承受攻击，但任何知道的人都可以走进去。

他们只需将 URL 更改为他们喜欢的任何查询：

// Delete one of your databases
http://your-server.com/querydatabase.php?query=DROP+DATABASE+DBNAME

// Create a new user account to log in directly
http://your-server.com/querydatabase.php?query=GRANT+ALL+PRIVILEGES+ON+*.*+TO+'bobby'%40%25+IDENTIFIED+BY+'password'

您的 PHP 代码需要为您想要保存的数据采用一系列单独的参数，并且您在将它们插入预构建的 SQL 查询之前，需要确保它们是健全且有效的。这严重限制了（但并不能阻止所有）不道德的个人对您的服务器做坏事的机会。

作为一个非常基本的示例（以您已有的风格）：

// get records from the database
http://your-server.com/querydatabase.php?query=list

if ($_GET['query'] == 'list') {
    mysql_query("SELECT * FROM TABLE");
}

// you would actually make a POST request to do this
http://your-server.com/querydatabase.php?query=save&column1=value1&column2=value2...

if ($_GET['query'] == 'save') {
    $column1 = mysql_real_escape_string($_GET['column1']);
    $column2 = mysql_real_escape_string($_GET['column2']);

   // only want column 1 to be an integer?
   if (!ctype_digit($column1)) die("Column 1 is not a number");

   mysql_query("INSERT INTO TABLE (column1, column2) VALUES ($column1, $column2)");
}

首选且稍微更高级的方法是放弃 mysql_* 并使用 mysqli 或 PDO （或者 ORM，它会为您处理所有事情），因此您可以使用 相反，准备好的语句。

这可能看起来不重要，特别是因为您在本地主机上运行它，但问题中所演示的是危险。