$_GET 停止删除记录答案

【问题标题】：$_GET stopped working for deleting records$_GET 停止删除记录
【发布时间】：2015-08-14 14:41:02
【问题描述】：

对于一个 web 应用程序，我正在构建删除用户功能停止工作。我没有更改与此功能相关的任何内容。所以我很困惑。我在 chrome（和应用程序）中安装了 PHP 控制台。但它没有给出任何错误或警告。

我正在使用 bootbox 来验证用户是否真的应该被删除：

function delete_id(id, fullname) {
    bootbox.confirm({
        size: 'small',
        message: '<i class="glyphicon glyphicon-question-sign orange"></i>Are you sure you want to delete user "'+fullname+'"?',
        callback: function(result) {
            if(result) {
                window.location.href = '?delete_id='+id;
            } 
        }
    });
}

那么它应该通过我的php函数传递：

function delete_user ($mysqli) {
    if(isset($_GET['delete_id'])) {
        $sql_name = "SELECT * FROM users WHERE uid='".$_GET['delete_id']."'";
        $result_name = $mysqli->query($sql_name);
        $row = $result_name->fetch_assoc();

        $sql_log = "DELETE FROM loginlog WHERE uid='".$row['uid']."'";
        $result_log = $mysqli->query($sql_log);

        $sql_user = "DELETE FROM users WHERE uid='".$row['uid']."'";
        $result_user = $mysqli->query($sql_user) or die(mysqli_errno($mysqli));

        $_SESSION['success'] = "User \"".$row['firstname']." ".$row['prefix']." ".$row['lastname']."\" is deleted.";
        header("location: ".BASE_PATH."/includes/views/users.php");
        exit();
    }
}

delete_user() 函数在users.php 中调用这工作得很好，但现在已经不行了。我是不是忽略了什么？

【问题讨论】：

您容易受到sql injection attacks 的攻击，也容易受到Spider of Doom 的攻击。喜欢让您的网站被摧毁。
它是如何“不工作”的？它在哪里/如何具体失败？
sql注入似乎不太可能，因为它是一个内网应用程序。末日蜘蛛似乎需要删除记录的页面（不是 javascript 触发的函数），并且根据 robots.txt 不允许使用机器人。还是不够？
将 '?delete_id=n 添加到 url，但之后 php 函数没有做任何事情。
该函数接受一个 mysqli 对象。您是否验证它连接成功？

标签： javascript php mysql get

【解决方案1】：

我会建议：

function delete_user ($mysqli, $id) {
    if(isset($id)) {
        $sql_name = sprintf("SELECT * FROM users WHERE uid='%d'", $id);
        $result_name = $mysqli->query($sql_name);
        $row = $result_name->fetch_assoc();

        $sql_log = "DELETE FROM loginlog WHERE uid='{$row['uid']}'";
        $result_log = $mysqli->query($sql_log);

        $sql_user = "DELETE FROM users WHERE uid='{$row['uid']}'";
        $result_user = $mysqli->query($sql_user) or die(mysqli_errno($mysqli));

        $_SESSION['success'] = "User \"{$row['firstname']} {$row['prefix']} {$row['lastname']}\" is deleted.";
        return true;
    } else {
        return false;
    }
}

然后就可以执行了：

if(delete_user($sql, $_GET['id'])){
    header("location: ".BASE_PATH."/includes/views/users.php");
}

使用最佳做法总是好的，即使在 Intranet 中也是如此。一个 rouge 用户或认为他们知道一些东西的人，您可能会丢失表格或将行弄乱。始终保护您的用户输入的数据，尤其是对用户。

【讨论】：