这是防止数据库注入的安全方法吗？ [复制]

Question

我经常使用这样的方法来过滤输入。如图所示使用preg_match( )，或者有时使用switch( )，它仅在POST/GET 变量是特定数量的关键字之一时起作用。

if (preg_match("/^[0-9]+$/",$_POST['id_to_clear']))
    {
    db_query("UPDATE `table` SET `error`=0, `progress`=0 WHERE `id` = {$_POST['id']}");
    }

一般来说，直接在 SQL 查询中使用 POST/GET 变量是一个巨大的危险信号。但在这种情况下，它似乎非常安全。有什么办法可以出错吗？我没看到的东西？

Answer 1

您可能应该在这里只使用准备好的语句，PHP 提供了许多实现这一点的 API。话虽如此，如果以下正则表达式通过：

preg_match("/^[0-9]+$/", $_POST['id_to_clear'])

那么id_to_clear POST 值应该只包含数字，在这种情况下，我看不出您向我们展示的查询有任何注入方式。

但是小心，因为即使现在事情可能是安全的，但在未来，您的查询可能会出现问题。没有太多困难，我可以想象稍后进行重构，再次将查询暴露给 SQL 注入。因此，请坚持陈述，除非有令人信服的理由不这样做。