我是否足够保护我的网站免受 sql 注入？

Question

我创建了一个网站，我只显示我的数据库表中的项目，我将变量从一个页面传递到另一个页面以显示某些项目，没有添加、删除或编辑我的表项目在我的网站上只是显示信息。

$aaa = _POST['aaa'];

$databasehost = "localhost";
$databasename = "mydb";
$databaseusername = "user";
$databasepassword = "password";

// Connect to the database server
$dbcnx = @mysql_connect($databasehost, $databaseusername, $databasepassword);
 if (!$dbcnx) {
 echo( "<font color='red'><P>can't connect to server.</P></font>" );
 exit();
  }
 // Select the database
 if (! @mysql_select_db($databasename) ) {
 echo( "<font color='red'><P>can't connect to db </P></font>");
 exit();
  }

 $aaa = mysql_real_escape_string($aaa)

 // and with $aaa I do my query

我已经阅读到使用 mysql_real_escape_string() 保护我的变量我停止了对我的查询的任何注入，但我觉得很容易受到以下影响：

 $databasehost = "localhost";
 $databasename = "mydb";
 $databaseusername = "user";
 $databasepassword = "password";

我只是偏执，还是有办法保护这些连接到服务器和数据库的信息？

Answer 1

这应该没关系，但如果您对此感到担心，只需使用 mysql_real_escape_string 转义所有传递到数据库的值作为字符串，然后将 intval/floatval 用于数值。

这不是完美的安全措施，但总比不这样做要好。

Answer 2

如果您的目标是严格防止通过 $aaa 变量进行注入，那么您应该没问题。正如@MikeG 指出的那样，您可能应该将连接信息移动到 Web 根目录之外的单独配置文件中以提高安全性（如果有人获得您的数据库凭据，您无需担心注入）。

Answer 3

如果没有访问您的服务器，任何人都无法查看数据库连接信息（因为 PHP 在服务器上执行，而不是发送到用户的浏览器）。话虽如此，如果您担心，您可能需要考虑将这些变量放在配置文件中，并对其进行加密。