从 JS->PHP->mySQL 循环输入值是一种不好的方法吗？

Question

我仍在学习并尝试编写尽可能小而有效的代码。

所以我从 HTML 表单向 mySql 插入数据时的常规方法是 使用 Jquery 获取输入值：

var formdata = {};
    $('.formdata').each(function(){
        formdata[ $(this).attr('name') ] = $(this).val();
});

使用 Ajax 将其发送到 PHP：

$.ajax({
        url: 'file.php',
        method: 'post',
        data: {formdata: formdata},
        success: function(result){
            console.log(result)
        }
 });

抓取 POST 并将其放入数组中：

$params_array = array(
        ':artNr' => $_POST['formdata']['artNr'],
        ':etc' => $_POST['formdata']['etc'],
);

最后放到mySql中：

$query = "INSERT INTO table SET artNr = :artNr, etc = :etc";
    try{ 
        $stmt = $db->prepare($query);
        $result = $stmt->execute($params_array);
    } 
    catch(PDOException $ex){
        die("Failed to run query: " . $ex->getMessage()); 
    }

我现在的问题是：
将值从 POST 循环到数组是一种不好的方法吗？

foreach( $_POST['formdata'] as $name => $value ){
    $params_array[$name] = $value;
}

询问的原因是我不知道您是否能够从控制台将内容发送到我的 JS“formdata[]”并进行黑客攻击？

我的意思是我将 HTML 表单中存在的任何内容循环到我的数据库中。我的“params_array”中没有任何硬编码键..
也许还有更多我不知道的安全漏洞？

我知道 PDO 对于 SQL 注入非常安全？！

Answer 1

始终认为用户输入是（潜在的）危险的。如果您期望一个整数，请确保它实际上是一。客户端的验证并不能确保安全。我仍然可以为您的端点创建一个POST request，提供我想要的参数。

我不会在后端循环遍历 formdata 数组。如果参数的数量不加起来占位符的数量，它可能会破坏您准备好的语句。

所以，你做得很好：

$data = $_POST['formdata'];

$params = [
    ':artNr' => intval($data['artNr']),
    ':etc'   => htmlspecialchars($data['etc']),
];

另外，使用 jQuery 的serialize 方法将一组表单元素编码为字符串。这是一种更有效的获取表单值的方法。

var $form = $('#myForm');

$form.submit(function(event) {
    var request = $.post('https://endpoint.com', $form.serialize());

    request
        .done(function(data) {
            console.log('Done', data);
        })
        .fail(function(error) {
            console.log('Request fail', error);
        });

    event.preventDefault();
});

这样您就不需要遍历每个 .formdata 元素。