安全地动态更改 SQL 语句

Question

我的课堂上有以下方法。我的目标基本上是找到数据库中的所有管理器，但可以选择限制 sql 语句。例如" AND U.username='jake56' 或" AND A.firstName='Jake'。我想知道添加限制是否安全，因为它容易受到 SQL 注入的影响。

/**
  * Returns an array of manager Users
  * @param string (optional) $limits - limit the query EX: 'AND U.userId > 7'
  * @return an array of managers with associative arrays
  */
  public function find_all_managers($limits = '') {
    $sql = "SELECT U.*, A.* 
     FROM Users U 
    JOIN Address A 
    ON U.addressId=A.addressId 
    WHERE U.role='manager' " . $limits;
    // run the query 
    $result = $this->query($query);
    $managers = mysqli_fetch_all($result, MYSQLI_ASSOC);
    return $managers;
  }

使用该参数是否安全？有人告诉我这种方法容易受到 SQL 注入的影响，但如果我愿意，我看不到另一种限制查询的方法。 例如我可能想$db->find_all_managers(' WHERE A.lastName='smith')

Answer 1

这样做

public function find_all_managers($limitA = 0,$limitB = 0) {
     //now create the limit part here, if real numbers given
     //if(is_numeric($limitA) and $limitA > 0)  
}

所以知道你创建了限制，没有其他东西可以注入。