如果我使用 PHP 在 MySQL 数据库上运行查询，如下所示：
$query="SELECT * FROM tablename";
从 SQL 注入之类的事情中保护它的最佳方法是什么？我听说过一些转义方法，但它不会在查询中留下斜杠吗？
【问题讨论】：
WHERE 子句时才会发生SQL 注入假设您的查询是SELECT * FROM tablename WHERE id='$_POST['id']' 假设我在id 的表单字段中输入' OR '1'='1。您的 sql 查询现在将变为 SELECT * FROM tablename WHERE id='' OR '1' = '1'，它将始终返回所有字段。
您在问题中显示的查询不使用用户提供的值，因此没有 SQL 注入的情况，但在一般情况下：-
首先，在查询中使用之前，您必须验证所有用户输入（用户名、电子邮件等）。例如：- 如果您在用户名中只允许使用字母数字字符，那么您必须在继续形成数据库查询之前检查输入是否实际上是字母数字，并且您还必须检查所有输入的大小。
之后，在我看来，Prepared Statements 是防止 SQL 注入的最佳选择。
mysql_real_escape_string() 的问题：-
由于 mysql_real_escape_string() 根据默认字符集转义字符，因此它比 addlashes() 函数更好，并且可以正确清理 SQL injections arising out of abuse of multibyte character sets，但在另一篇文章 here 中，显示了一个解决方法场景，解释了注入可以还是要完成。
解决方案：-
所以防止 SQL 注入的正确和更好的方法是使用准备好的语句。这是一种在插入用户输入（参数）之前预编译 SQL 语句并将其视为可重用 SQL 模板的技术。因此，它将用户输入与实际的 SQL 代码分开，并且 SQL 解析器从不解析用户输入。
除了安全性之外，它还优化了 SQL 查询的速度。当您需要使用不同的用户输入多次运行相同的查询时，它会有所帮助。
实现细节可以参考PHP手册。
【讨论】：
【讨论】：
第一个建议，永远不要选择*，只选择必要的字段，如果都需要，则单独选择，这样当其他开发人员继续进行项目时，他们会更快地知道发生了什么。其次，要确保查询安全，请使用mysql_real_escape_string(); 函数，如果正在传递 HTML，请使用 htmlentities(); 函数
【讨论】：
column1,column2,column3 FROM table WHERE column_name=''
当你做这样的事情时，可以完成 SQL 注入
$query="SELECT * FROM tablename WHERE Name LIKE '" . $_GET["name"] . "'";
攻击者可以简单地将 SQL Injection 放在获取参数名称中 - 例如“' OR 1 OR '' = '”
确保每个 get 或 post 参数都通过 mysql_real_escape_string 或至少 addlashes + intval 传递。
$query="SELECT * FROM tablename WHERE Name LIKE '" . mysql_real_escape_string( $_GET["name"] ) . "'";
【讨论】：
根据您的查询，我发现不存在安全问题。
但是，假设您想在查询中包含一个 GET 参数。
陈旧的方式
$query="SELECT * FROM tablename WHERE id = ".$_GET['id']
在这里，您有可能有人会更改查询。
所以你可以做的是使用 mysql_real_escape_string
正确的方式
$query="SELECT * FROM tablename WHERE id = '".mysql_real_escape_string($_GET['id'])."'";
这样你就保护了用户发送的参数。
但是 您应该始终验证来自用户的每个参数，除此之外，您还应通过上面所示的常用方式保护它
【讨论】：
我已经使用了这个代码，请看看它是正确的代码，现在不能注入
据我所知：如果我们运行插入查询，可以注入注入代码吗？ 请纠正我，我不是受过多少教育的程序员
$rs=mysql_query("Select * from subcat where CATID='".mysql_real_escape_string($_GET['cat'])."' order by ID ASC");
while($row=mysql_fetch_array($rs))
{
echo '<td align="left" style="text-decoration:none;padding-left:1px; "><a href="detail.php?product='.$row['SUBCAT'].'" style="text-decoration:none;color:#000">'.$row['HEADING'].'</a>';
echo '<td align="CENTER" style="text-decoration:none;padding-left:1px"><a href="detail.php?product='.$row['SUBCAT'].'" style="text-decoration:none;color:#000;">BUY NOW</a>';
echo '<td align="CENTER" style="text-decoration:none;padding-left:50px"><a href="detail.php?product='.$row['SUBCAT'].'" style="text-decoration:none;font-weight:bold;color:#000">Rs.'.$row['PRICE'].'</a>';
echo '<tr><td colspan=5 style="border-bottom:1px #232323 solid;">';
}
【讨论】：
mysql_ 已被弃用。 mysqli_ 或 PDO 应改为使用。