将$ _POST值与数据库字段进行比较

Question

我很确定这段代码有问题:

$sql="select * from user where username={$_POST['username']}AND pwd=   {$_POST['password']}";

$r = mysqli_query($link,$sql);
if($r)
{ 
$_SESSION['loggedin']=true;

echo "Welcome". $_POST['username']; 
}

Answer 1

是的,您接触到SQL注入.请了解preapred语句.

此外,您显然以纯文本形式存储密码.这是一个安全风险,因为如果您的数据库被暴露(由于SQL注入攻击,例如,咳嗽),您的所有密码都可能被泄露.

一些链接:

• 如何在PHP中阻止SQL注入？
• 准备好的声明 - 维基百科
• 如何在PHP中使用bcrypt进行散列密码？