PHP 和 PDO 防止 Javascript 注入

Question

我有一个使用 PDO 用 PHP 编写的网站。我正在使用 bindParam() 函数绑定到 sql 插入查询：

("insert into Table (id, date, data) VALUES (?, ?, ?)")

但我可以插入一个包含

的字符串

"<script>window.location="google.com"</script>"

如何预防？

谢谢！！！

Answer 1

假设你的意思

<script>window.location="google.com"</script>

您应该担心行显示时的注入保护，因为您不想用 HTML 实体填充数据库。

在显示数据库内容的页面上使用htmlspecialchars()[1]。

[1]http://www.php.net/manual/en/function.htmlspecialchars.php

Answer 2

PDO 不会阻止您这样做。您需要自己处理字符串：

1. 如果您根本不需要<script> 标签，请使用strip_tags
2. 如果您想要这些标签但不希望它们执行，请使用htmlentities