使用 MySQL 连接的 PHP 中的参数化查询

Question

我已经阅读了有关 SQL 注入的信息，因此我在我的网站上进行了尝试，当然它确实有效。我知道解决方案是参数化查询，而且我也知道那里有很多示例，但没有一个提到我们连接到数据库的部分。 所以这是我登录页面的PHP代码的一部分：

$userName = $_POST["username"];
$userPass = $_POST["password"];

$query = "SELECT * FROM users WHERE username = '$userName' AND password = '$userPass'";

$result = mysqli_query($dbc, $query); //$dbc is for MySQL connection: $dbc = @mysqli_connect($dbhost, $dbuser, $dbpass, $db)

$row = mysqli_fetch_array($result);

if(!$row){
    echo "No existing user or wrong password.";
}

我一直在寻找解决方案很长时间，但我无法弄清楚如何以参数化的方式使其工作。您能否帮我完成我的代码以防止 SQL 注入？

Answer 1

使用：

$userPass = mysqli_real_escape_string($mysqli,$_POST["password"]);

这会阻止 '' 或 '=' 东西 :) 其中 $mysqli 是您的连接字符串 ofc。

Answer 2

给你

$stmt = mysqli_prepare($dbc, "SELECT * FROM users WHERE username = ? AND password = ?");
mysqli_stmt_bind_param($stmt, "s", $userName);
mysqli_stmt_bind_param($stmt, "s", $userPass);
mysqli_stmt_execute($stmt);
$row = mysqli_stmt_fetch($stmt);

Documentation

作为旁注，我建议加密您的密码或更好地使用哈希来确保安全，将密码存储为纯文本是不好的