更新 MySQLI PHP 的代码

Question

有些人一直告诉我，我在 mysqli 查询中更新数据的代码非常不安全。实际上，这个网站上有几个人。所以我想知道他们说什么可以保护我下面的代码，所以在更新我的数据库时它是安全的。我想知道如何保护我的 mysqli 查询。

好的，在我的数据库条目代码中，这就是我所做的。首先让我说我总是通过 POST 方法发送以避免浏览器 url 复杂化。

当我得到 POST 数据时，这是我的代码。

$ID = 1;
$DATA = htmlentities(addslashes($_POST['data']));
$FIELD = "lifename";
$DBQUERY = "UPDATE `lifetable` SET `$FIELD` = '$DATA' WHERE `id` = $ID";
$DBRESULT = $MYSQLI->query($DBQUERY);

我目前在我的本地网站上使用它。

如果我已经转义了所有引号、所有斜杠、所有 & 符号（从 javascript 到 ajax）和所有分号，这怎么会不安全？这怎么可能？

那么你能告诉我在向我的数据库中添加信息时应该改变什么吗？

谢谢

PS ...我正在使用mysqli并将继续使用它。谢谢

Answer 1

一些人建议我从 mysqli 更改为 pdo，但我不愿意完全 100% 更改从数据库访问数据的方式。有人在prepare 和bind_param 之前发布了另一个链接，这就是我要使用的。所以谢谢你。

现在这是我的代码，绑定参数应该是这样，每个参数只用于我的查询的一部分，不能用于其他任何东西，根本没有其他任何东西。

    $DBQUERY = "UPDATE `lifetable` SET `lifename` = ? WHERE `id` = ?"; // EACH ? IS A PART OF bind_param BELOW IN ORDER AFTER TYPE.

    $STMT = $MYSQLI->prepare($DBQUERY);
    $STMT->bind_param('si', $DATA, $ID); // THIS MAKES SURE THAT THE VARIABLES ARE ONLY USED FOR THERE PLACE HERE AND NOTHING ELSE. ? in order.

    $DATA = htmlentities($_POST['data']); // I STILL USE MY CODE HERE TO REMOVED ANY OTEHR CHARACTERS, JUST INCASE. AND BEFORE IT GETS HERE, IT USES encodeURIComponent TO OUTPUT FROM AJAX.
    $ID = $COLUMN[1];

    $STMT->execute();
    $STMT->close();

我的代码以前有效，现在有效，只是更安全，至少有人告诉我。

Answer 2

像这样使用 PDO 类：

$db = new PDO('mysql:host=localhost;dbname=<SOMEDB>', '<USERNAME>', 'PASSWORD');
$query = $db->prepare('UPDATE `lifetable` SET :FIELD = :DATA WHERE `id` = :ID');
$query->execute(array(
  ':FIELD' => $field,
  ':DATA' => $data,
  ':ID' => $id
));
$query->commit();

欲了解更多信息Are there good tutorials on how to use PDO?

Answer 3

我认为您的安全性在于 SQL 注入，我知道使查询安全的最佳方法是在 var 上使用 mysql_real_escape_string。这里的例子取自 php.net

$mysqli = new mysqli("localhost", "my_user", "my_password", "world");
$city = $mysqli->real_escape_string($city);
$mysqli->query("INSERT into myCity (Name) VALUES ('$city')")

您可以对查询应用相同的过程

$ID = 1;
$DATA = $MYSQLI->real_escape_string($_POST['data']));
$FIELD = "lifename";
$DBQUERY = "UPDATE `lifetable` SET `$FIELD` = '$DATA' WHERE `id` = $ID";
$DBRESULT = $MYSQLI->query($DBQUERY);

我编辑了上面的内容，因为我忘记了问题中 lifename 的引号。它们应该在我的原始代码中。

现在游览查询应该是安全的：D 这里是对 php.net 文档的参考： http://cn2.php.net/manual/en/mysqli.real-escape-string.php