php可以像sql一样注入吗？

Question

我只是想知道，是否可以像注入 mysql 那样注入 php。我对sql injection 是如何完成的有一个粗略的了解，并且已经在开发环境中成功地执行了它。所以我只是想知道是否也可以注入php。

虽然我自己有一种直觉认为它不会是这种情况，因为即使尝试过它也更像是尝试注入一个 mysqli 准备好的语句。

不！我不是在谈论将javascript 注入到输入中，而是在谈论通过 input/GET/POST 进行普通 php-html 注入。 就像停止当前的 php 代码执行并在其间插入你自己的代码。

Answer 1

是的，这是可能的。如果您使用 eval() 或输出缓冲来生成输出，并且在将数据库中存储的值提供给模板解析器之前没有正确转义它，则可能会执行其中的 PHP 代码。

如果您在模板中使用纯 PHP，则风险相当高。