3

我在网站上有2个页面，一个是index.php，索引页面列出了数据库中存在的所有帖子，另一个页面是post.php，当点击索引页面上的特定帖子时，帖子页面显示单个帖子。

现在我用来列出 index.php 上所有帖子的代码是：

$postslist = mysqli_query($db, "SELECT * FROM posts");

while ($post = mysqli_fetch_array($postlist)) {
    echo '<a href="' .SITEURL.'/post.php?p='.$post['postid'].'>'.$post['title'].'</a>';
}

这很有效，我的 index.php 页面上显示了所有帖子，并且链接链接到 post.php 页面上的帖子。

在 post.php 页面上，我使用了这样的代码：

if(!isset($_GET['p'])){
    echo 'Dont load this page directly';
} 
else {
    $id = $_GET['p'];
    $querypost = mysqli_query($conn,
                    "SELECT * 
                    FROM posts 
                    WHERE postid='$id'");
            $data = mysqli_fetch_array($querypost);

        echo '<h3>' . $data['title'] . '</h3>';
}

这可以正常工作并使用该 ID 检索帖子，但我在 stackoverflow 上阅读了一些教程和帖子，这可能有点不安全，建议使用这样的代码只是为了确保数据库使用安全

if(!isset($_GET['p'])){
    echo 'Dont load this page directly';
} 
else {
    $id = $_GET['p'];
            $id = mysqli_real_escape_string($id);
    $querypost = mysqli_query($conn,
                    "SELECT * 
                    FROM posts 
                    WHERE postid='$id'");
            $data = mysqli_fetch_array($querypost);

        echo '<h3>' . $data['title'] . '</h3>';
}

但这会引发一个错误，所以如果 postid 存在，只需检查数据库是否足够安全，如果这不够安全，我如何使其安全？

问题的第 2 部分

编辑：好吧，我已经开始搜索你们发布的方法，几个小时后，我使它与 mysqli_prepare 一起工作，但在 post.php 中使用它相当容易，因为它只连接到帖子表并从一个基于表的表中提取所有数据在帖子 ID 上。

但是当我在不同的页面上尝试相同的方法时，这变成了相当大的解决方案。

在第二页上，我必须从 5 个不同的表中提取数据，这些表使用 LEFT JOIN 连接到表中特定列的特定 id 的所有匹配，这就是它只使用 3 个表得出的结果。

$stmt = mysqli_prepare($conn,
            "SELECT * 
            FROM giveaways 
            INNER JOIN members
            ON giveaways.creator = members.steamID
            INNER JOIN sc_steamgames
            ON giveaways.gameid = sc_steamgames.appid
            WHERE giveawayID=?");
mysqli_stmt_bind_param($stmt, "i", $id);

mysqli_stmt_execute($stmt);

mysqli_stmt_bind_result($stmt, $id, $creator, $comment, $tcreated, $tstarting, $tfinish, $provider, $type, $gameid, $memberid, $steamid, $username, $profileurl, $avatar, $avatarmed, $avatarbig, $steamgames, $regdate, $verified, $coins, $gold, $points, $appid, $title, $storeprice, $valuedprice, $pointsworth);

mysqli_stmt_fetch($stmt);

echo $creator .' - '. $comment . ' - '. $gameid . ' - ' .$title.' - '.($storeprice /100) ;
mysqli_stmt_close($stmt);

这很好用，但你可以看到它有 3 个表有多大，我需要从另外 2 个表中提取信息，所以我想知道这是否真的是你会使用的解决方案？

还有一个问题，如果用户必须浏览具有静态值的页面，例如

index.php?go=upcoming

我是否还需要使用更多安全性或像现在一样使用它

if(isset($_GET['go']) && $_GET['go'] == 'upcoming')

足够安全吗？因为 go 的价值和期望值是已知的。

4

2 回答 2

5

它抛出一个错误，因为mysqli_real_escape_string需要两个参数，第一个是 connection $conn。

如果你这样做，它应该足够安全，但最好使用参数化查询。例如：

$stmt = mysqli_prepare($conn, "SELECT cols FROM posts WHERE postid = ?");
mysqli_stmt_bind_param($stmt, 'i', $id);

检查id数据库中的存在对注入根本不安全，id因为您必须首先在查询中使用潜在的恶意来进行检查。

于 2013-10-23T20:18:49.870 回答
3

如果您的id列是整数，请使用以下命令：

$id = (int) $_GET['p'];

这将是安全的，因为 (int) 类型强制去除了任何非法字符。

使 SQL 安全也可以很简单：始终使用动态值的参数。这适用于整数值、字符串和日期。然后你就不用担心引用、转义或过滤了。@ExplosionPills 显示了一个示例。

于 2013-10-23T21:22:20.727 回答