相关疑难解决方法(0)

如果插入用户输入而不修改SQL查询,则应用程序容易受到SQL注入的攻击,如下例所示:

$unsafe_variable = $_POST['user_input']; 

mysql_query("INSERT INTO `table` (`column`) VALUES ('$unsafe_variable')");

这是因为用户可以输入类似的内容value'); DROP TABLE table;--,查询变为:

INSERT INTO `table` (`column`) VALUES('value'); DROP TABLE table;--')

可以采取哪些措施来防止这种情况发生？

为什么一个人不应该使用mysql_*功能的技术原因是什么？(例如mysql_query(),mysql_connect()或mysql_real_escape_string())？

即使他们在我的网站上工作,为什么还要使用其他东西？

如果他们不在我的网站上工作,为什么我会收到错误

警告:mysql_connect():没有这样的文件或目录

现在我有一个PHP文件执行MYSQL查询,然后像这样计算行:

$count=mysql_num_rows($result);


if ($count == 1) {
    $message = array('status' => 'ok');
} else {
    $message = array('status' => 'error');
}

这工作正常,但我正在尝试更改我的所有PHP文件以使用PDO.那么如何用PDO完成这项工作呢？

准备好的语句添加了大量代码......但我一直听到提及使用它们......从1行代码到6左右增加了什么值？这只是为了防止sql注入吗？

类似的帖子在这里.

php.net在这里准备好的声明