简单防止sql注入

最新推荐文章于 2025-02-26 20:02:38 发布

原创最新推荐文章于 2025-02-26 20:02:38 发布 · 267 阅读

0 ·

CC 4.0 BY-SA版权

本文通过一个PHP示例展示了如何使用安全的方法从数据库中查询特定记录。通过intval()和htmlspecialchars()函数确保了输入的安全性，防止了SQL注入攻击。介绍了正确的参数类型转换及特殊字符转义的重要性。

<?php
$db = new mysqli('127.0.0.1','root','123456','project_myedusoho_admin') or die('错误：'.mysqli_connect_error());
if($_GET){
    //$sql = "select * from js_admin where id = {$_GET['id']}";
    //这里这样写的话容易被人sql注入攻击
    $id  = $_GET['id'];
    $id = intval($id);//将接受的数据（post也一样）全部转化为整数型，
    $id = htmlspecialchars($id);//除去所有特殊<、>等符号
    if ($id>0) {
        $sql = "select * from js_document where id = $id";
        $db->set_charset('utf8');
        $res = $db->query($sql) or die("错误".$db->error);
        $r = array();
        while($row = $res->fetch_assoc()){
            $r[] = $row;
        }
        //var_dump($r);
        foreach($r as $k => $v){
            echo $v['title'];
        }
    }
    
}