我还需要使用准备好的语句吗[重复]

Question

使用 PHP 和 MySQLi 我有一个带有 4 个 HTML 5 下拉选择列表输入的简单表单。现在想知道我是否还必须使用 Prepared Statement 来保护我的数据库？我是否仍然面临 SQL 注入问题的风险？或者使用这种类型的输入是否存在任何其他类型的风险。谢谢

Answer 1

您仍然很容易受到注入攻击，因为通过您的选择框插入的值很容易被最终用户修改。

如果你有一个好的验证服务器端，那么不用准备好的语句就可以了。

好的，我的意思是这样的：

$array = Array("all", "your", "possible", "values", "from", "Select boxes");
if(in_array ($_POST['selectbox'], $array)){
      //Mysql statements etc....
}

直接插入用户输入绝不是一个好主意。你永远不应该相信最终用户！