验证数据库匹配中的$ _GET id足够安全吗？

Question

我在网站上有2个页面,一个是index.php和索引页面列出数据库中存在的所有帖子,其他页面是post.php,并且当点击索引页面上的特定帖子时,帖子页面显示单个帖子.

现在我用来列出index.php上所有帖子的代码是:

$postslist = mysqli_query($db, "SELECT * FROM posts");

while ($post = mysqli_fetch_array($postlist)) {
    echo '<a href="' .SITEURL.'/post.php?p='.$post['postid'].'>'.$post['title'].'</a>';
}

这工作,我的所有帖子显示在我的index.php页面上,链接链接到post.php页面上的帖子.

在post.php页面上我使用了这样的代码:

if(!isset($_GET['p'])){
    echo 'Dont load this page directly';
} 
else {
    $id = $_GET['p'];
    $querypost = mysqli_query($conn,
                    "SELECT * 
                    FROM posts 
                    WHERE postid='$id'");
            $data = mysqli_fetch_array($querypost);

        echo '<h3>' . $data['title'] . '</h3>';
}

这工作正常并检索具有该ID的帖子,但我已经在stackoverflow上阅读了一些教程和帖子,这可能有点不安全,建议使用这样的代码,以确保使数据库使用安全

if(!isset($_GET['p'])){
    echo 'Dont load this page directly';
} 
else {
    $id = $_GET['p'];
            $id = mysqli_real_escape_string($id);
    $querypost = mysqli_query($conn,
                    "SELECT * 
                    FROM posts 
                    WHERE postid='$id'");
            $data = mysqli_fetch_array($querypost);

        echo '<h3>' . $data['title'] . '</h3>';
}

但这会引发错误,所以它是否足够安全,如果postid存在则只检查数据库,如果这不够安全,我该如何使其安全？

问题的第2部分

编辑:我已经接受了搜索从你们发布的方法,几个小时后,我使用mysqli_prepare,但使用它到post.php相当容易,因为它只连接到posts表并从一个表中提取所有数据在帖子ID上.

但是当我在不同的页面上尝试相同的方法时,这变成了相当大的解决方案

在第二页上,我必须从5个不同的表中提取数据,这些表使用LEFT JOIN连接到表中特定列的特定id的所有匹配,这就是它仅使用3个表出来的内容.

$stmt = mysqli_prepare($conn,
            "SELECT * 
            FROM giveaways 
            INNER JOIN members
            ON giveaways.creator = members.steamID
            INNER JOIN sc_steamgames
            ON giveaways.gameid = sc_steamgames.appid
            WHERE giveawayID=?");
mysqli_stmt_bind_param($stmt, "i", $id);

mysqli_stmt_execute($stmt);

mysqli_stmt_bind_result($stmt, $id, $creator, $comment, $tcreated, $tstarting, $tfinish, $provider, $type, $gameid, $memberid, $steamid, $username, $profileurl, $avatar, $avatarmed, $avatarbig, $steamgames, $regdate, $verified, $coins, $gold, $points, $appid, $title, $storeprice, $valuedprice, $pointsworth);

mysqli_stmt_fetch($stmt);

echo $creator .' - '. $comment . ' - '. $gameid . ' - ' .$title.' - '.($storeprice /100) ;
mysqli_stmt_close($stmt);

这样可以正常工作,但是你可以看到3个表有多大,我需要从另外2个表中提取信息,所以我想知道这是否真的是你要使用的解决方案？

另一个问题,如果用户必须浏览具有静态值的页面,如

index.php?go=upcoming

我是否需要使用更多安全性或像现在一样使用它

if(isset($_GET['go']) && $_GET['go'] == 'upcoming')

足够安全吗？因为已知的go值和期望值.

Answer 1

它抛出一个错误,因为mysqli_real_escape_string需要两个参数,第一个是连接$conn.

如果你这样做它应该足够安全,但最好使用参数化查询.例如:

$stmt = mysqli_prepare($conn, "SELECT cols FROM posts WHERE postid = ?");
mysqli_stmt_bind_param($stmt, 'i', $id);

检查id数据库中存在的数据是不安全的,因为您必须首先使用id查询中的潜在恶意进行检查.