PHP 从 Web 表单安全地将数据插入到 MySql

Question

我正在学习 php，并且一直在关注 phpbridge.org 的 OOP 创建数据类教程

在教程中，他们从帖子中获取表单数据并将其插入数据库。

代码如下：

第 1 步：表单

<h2>New Topic</h2>
<form action="add.php" method="POST">
    <label>
        Title: <input type="text" name="title">
    </label>
    <br>
    <label>
        Description:
        <br>
        <textarea name="description" cols="50" rows="20"></textarea>
    </label>
    <br>
    <input type="submit" value="Add Topic">
</form>

第 2 步 PHP 文件

<?php
 require 'TopicData.php';

if (isset($_POST) && sizeof($_POST) > 0) {
    $data = new TopicData();
    $data->add($_POST);
}
?>

第 3 步

TopicData.php中包含的函数

public function add($data)
{
    $query = $this->connection->prepare(
        "INSERT INTO topics (
            title,
            description
        ) VALUES (
            :title,
            :description
        )"
    );

    $data = [
        ':title' => $data['title'],
        ':description' => $data['description']
    ];

    $query->execute($data);
}

我的问题是关于安全性的。在将此数据插入数据库之前，通过 filter_input() 函数运行表单的每个字段不是最佳做法吗？这些也应该通过 filter_var() 运行吗？

如果有必要，过滤器代码到底是什么样的？

谢谢！

Answer 1

TopicData.php 文件正在使用准备好的 SQL 查询。使用准备好的查询的好处是它消除了 SQL 注入的可能性，前提是 SQL 查询不基于外部输入。使用准备好的查询时，查询的模板与数据分开发送。这有很多好处，这里描述：https://www.w3schools.com/php/php_mysql_prepared_statements.asp

它消除了清理表单数据的需要。但是，如果需要验证，例如最大字符串长度、最大值和最小值等，可能仍需要使用 filter_var 函数过滤表单数据。