我如何知道我的网站是否容易受到 SQL 注入攻击？

Question

我知道很多人都问过这个问题，但不幸的是我找不到我的问题的正确答案。

在我读过的所有有关 SQL 注入的文章中，他们都讨论了 http://www.example.com/member.php?id=1等 URL ，以及如何检查我的网站是否容易受到 SQL 注入攻击(')。

就我而言，我的网站是这样的： http://www.example.com/Login.php 如您所见，我没有 ?id=1，我应该做什么来测试我的网站？

谢谢

Answer 1

通过使用查询的硬编码变量部分，您很容易受到 SQL 注入的攻击。换句话说，使用命名参数可以防止这种情况发生。

如果您只是盲目地获取字符串并将它们注入到您的查询中，而没有参数或卫生条件，那么您基本上是在允许公众（即潜在的坏人）直接访问您的数据库编写 SQL 代码。

SQL 注入是一个很难用 SO 答案来形容的主题，因此我强烈推荐有关 SQL 注入的维基百科文章。