相关疑难解决方法(0)

如果插入用户输入而不修改SQL查询,则应用程序容易受到SQL注入的攻击,如下例所示:

$unsafe_variable = $_POST['user_input']; 

mysql_query("INSERT INTO `table` (`column`) VALUES ('$unsafe_variable')");

这是因为用户可以输入类似的内容value'); DROP TABLE table;--,查询变为:

INSERT INTO `table` (`column`) VALUES('value'); DROP TABLE table;--')

可以采取哪些措施来防止这种情况发生？

为什么一个人不应该使用mysql_*功能的技术原因是什么？(例如mysql_query(),mysql_connect()或mysql_real_escape_string())？

即使他们在我的网站上工作,为什么还要使用其他东西？

如果他们不在我的网站上工作,为什么我会收到错误

警告:mysql_connect():没有这样的文件或目录

假设我有这样的代码:

$dbh = new PDO("blahblah");

$stmt = $dbh->prepare('SELECT * FROM users where username = :username');
$stmt->execute( array(':username' => $_REQUEST['username']) );

PDO文件说:

准备语句的参数不需要引用; 司机为你处理.

这真的是我需要做的就是避免SQL注入吗？这真的很容易吗？

如果它有所作为,你可以假设MySQL.另外,我真的只是对使用针对SQL注入的预处理语句感到好奇.在这种情况下,我不关心XSS或其他可能的漏洞.

当我尝试从PHP连接到MySQL服务器时,我看到以下错误:

不推荐使用:不推荐使用mysql扩展,将来会将其删除:在第123行的/path/to/filename.php中使用mysqli或PDO

引用行上的代码是:

mysql_connect($server, $username, $password);

我确信这些论点是正确的,而且这个确切的代码已经工作多年而没有问题.实际上,我是从PHP的一个很好的教程中获得的.

1. 为什么会这样？

2. 我该如何解决？

3. 据我所知,这是可以通过设置来抑制弃用错误error_reporting的php.ini排除E_DEPRECATED:

   error_reporting = E_ALL ^ E_DEPRECATED
   

   Run Code Online (Sandbox Code Playgroud)

   如果我这样做会怎么样？