jquery ajax 传递 sql 查询答案

【问题标题】：jquery ajax passing sql queryjquery ajax 传递 sql 查询
【发布时间】：2013-01-28 00:41:24
【问题描述】：

我正在使用 ajax 调用来查询数据库。我想将复杂的 sql 查询作为 ajax 数据的一部分传递。这是我应该这样做的方式吗？

var myQuery = 'select * from table....';        

$.ajax({
    type: "GET",
    url: 'jsonQuery.php',
    dataType: 'json',
    data: {keyvalue: 2416, q: myQuery},
    success: function(pieData) {
        //do something with the response        
    }

});

【问题讨论】：

好吧，你的语法没有问题，但出于安全原因，人们通常不会将 SQL 发送到服务器......不要忘记你所有的客户端脚本都暴露给每个人，我可以更改您在代码中编写的 SQL 用于执行我想要的操作。您可以使用 'get' 之类的 'verb' 作为 GET 参数，让 PHP 决定要执行的 SQL。

标签： php jquery mysql ajax json

【解决方案1】：

正如其他人所说，绝对不要在 AJAX 调用中直接发送 SQL。黑客可以轻松编写自己的 SQL 查询来执行他们想要在您的数据库上执行的任何代码。 Insead，您可以通过 POST 传递您想要过滤的几个不同字段值（例如，“name”值或“key”或“age_range”）。然后，在接收端设置 PHP 以了解何时使用这些值；如果存在键，则将其用作标识符并使用查询 X。如果不存在键，则检查名称或其他值以执行对正确行的搜索，并将它们插入查询 Y。

正如 IngodItrust 所说，您还可以发送一个 POST 值来指定要使用的查询，即

q: 'LongerQuery'

然后在接收 PHP 中，有几个 IF 或 CASE 语句，根据存在的 Q 值准备不同的查询。

我的网站有一个图表生成器，用户可以在其中更改 X 轴和 Y 轴上的数据设置、数据是否分成不同的系列以及如果用户只想过滤数据池应如何过滤查看特定的人口统计数据。当用户单击“生成”按钮时，这些设置通过 AJAX/POST 发送。接收 PHP 页面基于这 20 个输入构建图表数据查询；根据用户选择的设置，生成的查询可能看起来完全不同。我这样描述是为了说明 AJAX 可用于构建一些极其灵活和用户响应式的查询，而不会产生安全风险。

【讨论】：

【解决方案2】：

如果我理解你的意思，你实际上不应该直接将任何 SQL 传递给 jsonQuery.php。这样做会使您面临 SQL 注入攻击。请参阅 http://bobby-tables.com/ 的 Google 术语。

相反，将参数传递给您的脚本，例如 jsonQuery.php?do=SEARCH&itemID=12&type=RED_ONES 并使用这些参数在 jsonQuery.php 中创建您的查询。虽然之前检查每个预期值..

【讨论】：

【解决方案3】：

是的，有更好的方法。将查询保留在.php 页面上并发送一个帖子类型，告诉您使用哪一个。

例子：

data: {keyvalue: 2416, q: 2},

然后，您获取对应于数字 2 的查询并使用它！无需传递 SQL！

【讨论】：