转换为参数化查询时遇到问题

Question

所以我试图将我的所有 SQL 语句转换为准备好的语句等，以防止 SQL 注入攻击，但我在获取东西等方面遇到了一些问题

我的代码：

if($_GET["action"] == "ban"){

    if(isset($_GET["username"])){

        $username = $_GET["username"];

        $banMsg = $_GET["banMsg"];

        $email = "test@gmx.ch";

        $sql = "SELECT * FROM bans WHERE username = ?";
        $stmt = $db->prepare($sql);
        $stmt->bind_param("s", $username);
        $stmt->execute();
        $result = $stmt->fetch();
        $stmt->close();

        if($result->num_rows > 0){ //LINE 61
            die(json_encode(array("status" => 400, "message" => "User already banned")));
        }

        $result2 = $db->prepare("INSERT INTO bans (username, ip, email, message, expire, ban_creator) VALUES (?, ?, ?, ?, ?, ?)");
        $result2->bind_param("sssssd", $username, null, $email, $banMsg, null, 1); // LINE 72^^
        $result2->close();
        if($result2){
            updateBanCache();
            die(json_encode(array("status" => 200, "message" => "Successfully banned")));
        } else {

            die(json_encode(array("status" => 400, "message" => "SQL error")));
        }

    }

另外，$result = $stmt->get_result(); 不想为我工作，不过我的 php / cpanel 中确实安装了 mysqlnd 驱动程序。

任何指针都会有所帮助，谢谢！

错误日志：

[11-Nov-2020 04:46:04 America/New_York] PHP Notice:  Trying to get property 'num_rows' of non-object in /home/public_html/index.php on line 61
[11-Nov-2020 04:46:04 America/New_York] PHP Fatal error:  Uncaught Error: Cannot pass parameter 3 by reference in /home/elysianmenu/public_html/index.php:72
Stack trace:
#0 {main}
  thrown in /home/public_html/index.php on line 72

旁注：我也尝试使用$result = $stmt->get_result();，但最终出现错误：

[11-Nov-2020 04:57:30 America/New_York] PHP Fatal error:  Uncaught Error: Call to undefined method mysqli_stmt::get_result() in /home/public_html/index.php:55
Stack trace:
#0 {main}
  thrown in /home/public_html/index.php on line 55

^^ 是的，我确实安装了 mysqlnd 驱动程序

Answer 1

来自docs：从准备好的语句中获取结果到绑定变量中。

fetch() 返回TRUE、FALSE 或NULL，但不是您期望的结果集。相反，它通过引用将输出设置为您之前绑定的变量（使用bind_param()）。这就是为什么您必须使用变量，而不是实际的标量类型。

如果您的查询未返回任何行，fetch() 将返回 NULL。按如下方式更新您的代码：

$stmt = $db->prepare($sql);
$stmt->bind_param("s", $username);
$stmt->execute();
if ($stmt->fetch() === TRUE)
    die(json_encode(array("status" => 400, "message" => "User already banned")));
$stmt->close();

要修复第 72 行的错误，您必须使用变量通过引用传递值。像这样的：

$ip = NULL;
$expire = NULL;
$ban_creator = 1;

$result2->bind_param("sssssd", $username, $ip, $email, $banMsg, $expire, $ban_creator);

别忘了执行查询！在实际发生任何事情之前，您正在检查$result2。

Answer 2

1. 禁止用户的操作不得来自 GET 请求 ($_GET["action"])。这将使网络爬虫非常简单地偶然发现您的禁止脚本并禁止您的所有用户（如果它以某种方式找到用户名列表）。整个有效载荷应该以$_POST 的形式出现。底线是：写入数据时使用$_POST，读取数据时使用$_GET。

2. 您不得盲目相信用户输入。您甚至应该在连接到数据库之前验证数据。如果有效载荷无效，则不应使用任何资源。

3. 如果您只对结果集的行数（而不是结果集中的值）感兴趣，请在查询中写入 COUNT(1)。通过这种方式，您可以检查单独的值是否为零或非零值，而不会产生不必要的开销。使用类似https://stackoverflow.com/a/51259779/2943403

4. ip、expire 和 ban_creator 应该在表声明中具有默认设置 NULL、NULL 和 1。如果您希望存储不同的值，您应该只在 INSERT 查询中提及这些列。您的 INSERT 查询应该只绑定 3 个参数。当然还要检查执行插入的结果，如下所示：$stmt->execute() : How to know if db insert was successful?