是否可以使用 file_get_contents("php://input"); 进行 sql 注入？还是可以仅使用获取和发布？

Question

我有一个与嵌入式 swf 对象通信的网站。 flash 运行 sendAndLoad("URL", receiver) 命令与服务器传输 xml 字符串，服务器使用 file_get_contents("php://input") 从 flash 接收 xml 字符串。我应该担心sql注入攻击吗？

Answer 1

简短回答：是的

更长一点的答案：虽然不是立即显而易见，但如果数据未正确转义，则可以伪造请求并导致注入。仅仅因为数据通常来自闪存对象并不意味着不能创建自己的脚本来发送恶意数据。