安全性：PHP 中的 $_SERVER 数组 sql 注入

Question

我编写了一个 PHP 函数来记录$_SERVER数组中的所有内容，如果$_SERVER我的数据库中不存在某个变量，它将添加该列。

我的问题是：这对你来说有多安全？在研究和理解标题信息后，出现了一些问题。

1. 客户端是否能够修改发送到其浏览器代理或操作系统的服务器的某些变量？
2. 从自己的服务器托管站点的人能否将代码插入到自己的自定义$_SERVER数组中？

总的来说，我只是在问这听起来到底有多安全，但这些是首先想到的问题。

如果您发现我提出这个问题的方式有任何问题，请在投反对票之前发表评论，我会立即更改。

Answer 1

$_SERVER可以不被信任。$_SERVER['HTTP_USER_AGENT']包含一个易于用户配置的字符串 - SQL 注入可能。甚至还有用于此目的的浏览器插件。实际上，$_SERVER用户可以更改很多变量，例如也$_SERVER['HTTP_ACCEPT_LANGUAGE'].

看看 Chrome 插件ModHeader：