您的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，以在第 1 行附近使用正确的语法

Question

我的代码有这个问题，但找不到问题所在，有没有人遇到过类似的问题？

<?php
include("db.php"); 
if(isset($_POST['submit']))
{
$name=$_POST['namename'];
$job=$_POST['job'];
$message=$_POST['message'];
$insert=mysql_query("insert into     commenttable(name,job,message)values('$name','$job','$message')")or     die(mysql_error());
header("Location:../home.php");
}
?>

这是在本地主机上运行的

服务器类型：MySQL 服务器版本：5.5.42 - 源码分发

忘了提一下，如果我发表简单的评论，比如“你好”，效果很好，但是当我尝试发表这样的评论时

<INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');">

对于攻击它不起作用，我收到错误消息。 我为小型攻击项目做这个，这就是为什么我需要让它工作。

谢谢！

Answer 1

如果您在尝试插入文本 <INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');"> 时代码失败，那么显然，正在发生的事情是 Uueerdo 在他的评论中建议的：MySQL 将“XSS”之前的单引号解释为字符串，给你留下一个悬空的XSS');'，这当然是一个语法错误。

有两种方法可以解决这个问题：

1. 以编程方式转义单引号。如果你自己做这将是相当棘手的，但 PHP 中应该有一些库函数，所以它看起来像message = escape_for_sql( message )。 （对不起，我没有复制美元符号，我过敏。）

2. 更好的是，使用参数化查询，在其中使用“？”构造查询代替每个值，表示查询的一个参数，然后为每个参数提供值，然后然后执行查询。不知道PHP是怎么做到的，搜索“参数化查询PHP”。

Answer 2

为了扩展@Mike 的答案，正确的准备语句 PHP 语法应该是，使用 mysql 驱动程序：

None. Don't use the mysql driver. It's been deprecated since forever.

使用mysqli：

// You need to define the following $db_* vars elsewhere
$dbh = new mysqli($db_host, $db_user, $db_password, $db_name;)

$query = "INSERT INTO commenttable (name, job, message) VALUES (?, ?, ?)";
$stmt = $dbh->prepare($query);
$stmt->bind_param($name, $job, $message);
$stmt->execute();

// When you're finished...
$stmt->close();

使用 PDO：

// Edit the connection string as appropriate for your installation
$dbh = new PDO('mysql:host=mydbhost;dbname=whatever', $db_user, $db_password);

$query = "INSERT INTO commenttable (name, job, message) VALUES (:name, :job, :message)";
$stmt = $dbh->prepare($query);
$params = array(':name' => $name, ':job' => $job, ':message' => $message);
$stmt->execute($params);

// PDO has no explicit close() call.

我将错误处理留给读者作为练习。希望对您有所帮助。