php - 将 $_POST 值与数据库字段进行比较

Question

我很确定这段代码有问题：

$sql="select * from user where username={$_POST['username']}AND pwd=   {$_POST['password']}";

$r = mysqli_query($link,$sql);
if($r)
{ 
$_SESSION['loggedin']=true;

echo "Welcome". $_POST['username']; 
}

Answer 1

是的，您会接触到 SQL 注入。请了解预先准备好的陈述。

此外，您显然以纯文本形式存储密码。这是一个安全风险，因为如果您的数据库被暴露（由于 SQL 注入攻击，例如咳咳），您的所有密码都可能被泄露。

几个链接：

• 如何防止 PHP 中的 SQL 注入？
• 准备好的陈述 - 维基百科
• 如何在 PHP 中使用 bcrypt 对密码进行哈希处理？