假设我有这样的代码:
$dbh = new PDO("blahblah");
$stmt = $dbh->prepare('SELECT * FROM users where username = :username');
$stmt->execute( array(':username' => $_REQUEST['username']) );
PDO文件说:
准备语句的参数不需要引用; 司机为你处理.
这真的是我需要做的就是避免SQL注入吗？这真的很容易吗？
如果它有所作为,你可以假设MySQL.另外,我真的只是对使用针对SQL注入的预处理语句感到好奇.在这种情况下,我不关心XSS或其他可能的漏洞.
可能重复:
如何从"Bobby Tables"XKCD漫画中注入SQL？
https://stackoverflow.com/search?q=sql+injection
有人可以解释SQL注入吗？它是如何导致漏洞的？注入SQL的确切位置在哪里？
因此，我尝试在本地托管的网页上练习 SQL 注入。我对 SQL 很陌生，尤其是 SQL 注入。我已经做了一些研究，将新条目注入表中，但是当我尝试执行时，它似乎不起作用。
首先，我的网页是登录的。我有用户名和密码（显然）并且可以在不附加任何 SQL 注入的情况下登录。但是当我将注入代码添加到用户名框中时，它不起作用。例子：
username: admin'; insert into hall values (3,'https://google.com','Google'); --
password: 123321
在我的大厅表中，有 3 个条目：id、链接、目的地。ID 是一个整数，链接和目标是 varchars。
我需要做什么才能成功注入并将此条目添加到数据库中？是需要输入正确的用户名和密码，还是只输入用户名，还是其他什么？