prepared-statement 相关问题

鉴于以下代码，我需要逃逸并清理 $city 吗？鉴于以下代码，我需要转义并清理$city吗？ <?php $mysqli = new mysqli("localhost", "my_user", "my_password", "world"); /* check connection */ if (mysqli_connect_errno()) { printf("Connect failed: %s\n", mysqli_connect_error()); exit(); } $city = "Amersfoort"; /* create a prepared statement */ if ($stmt = $mysqli->prepare("SELECT District FROM City WHERE Name=?")) { /* bind parameters for markers */ $stmt->bind_param("s", $city); /* execute query */ $stmt->execute(); /* bind result variables */ $stmt->bind_result($district); /* fetch value */ $stmt->fetch(); printf("%s is in district %s\n", $city, $district); /* close statement */ $stmt->close(); } /* close connection */ $mysqli->close(); ?> 使用准备好的查询时是否需要清理任何输入？不，您不必为了注射保护而逃脱它或对其进行消毒。对于其他应用程序特定的内容，您可以对其进行清理。不久前我也有过类似的问题： mysqli_stmt_bind_param SQL注入您直接从 php.net 上有关 mysqli::prepare 的手册复制了该代码片段。在同一页上有以下文字：准备好的语句的目的是不在 SQL 语句中包含数据。将它们包含在 SQL 语句中是不安全的。始终使用准备好的语句。它们使用起来更干净（代码更容易阅读）并且不易受到 SQL 注入。这就是你问题的答案；）此外。另外。准备好的语句如果使用得当，几乎可以完全缓解 SQL 注入问题。但是您应该在适当的情况下格式化/清理输入数据。清洁输入不是一项安全功能，但为了稳健性和可用性，建议这样做。对于您的 $city，您可能需要删除所有非单词字符： $city = trim(preg_replace("/[^\w-]+/", " ", $city)); 再次强调：不会取代数据库转义或准备好的语句，但确保使用一致的数据。我意识到这个问题很老了。我自己在搜索相同信息时偶然发现了它。我会对桑德的回答发表评论，但我还没有足够的声誉来发表评论。 Sander 说你不需要消毒，但是在 http://www.w3schools.com/php/php_mysql_prepared_statements.asp （我意识到 w3schools 并不总是一个完全最新且准确的信息来源，但我发现它以一种明智、易于理解的方式阐明了事情），他们说“注意：如果我们想插入来自外部来源的任何数据（例如用户输入），那么对数据进行清理和验证非常重要。 ” 所以看来当使用表单并接受用户输入时，你应该进行清理。

php mysqli prepared-statement sanitization

回答 4 投票 0

MYSQLI_ASYNC 可用于 PHP 中的准备好的语句吗？

利用 MySQL 本机驱动程序，您可以将 MYSQLI_ASYNC 标志与 mysqli_query 函数一起使用来进行并行、异步 MySQL DB 调用。我明白这一切是如何运作的，但我真正喜欢的是......

php mysql asynchronous prepared-statement mysqlnd

回答 1 投票 0

如何用芭蕾舞演员写准备好的陈述？

有没有办法在ballerina中编写SQL准备语句？或者使用以下方法是一个好习惯吗？函数 selectUserQuery(string username) 返回 sql:ParameterizedQ...

prepared-statement sql-injection ballerina ballerina-swan-lake

回答 1 投票 0

如何检查表中用户是否存在

如果 $name 和 $email 与现有记录不匹配，我正在尝试为新用户创建帐户，但以下代码片段正在插入与另一个客户相同的记录，而我试图阻止这种情况......

php mysqli prepared-statement

回答 2 投票 0

如何使用mysqli准备好的语句？

我正在尝试准备好的语句，但下面的代码不起作用。我收到错误：致命错误：在非对象上调用成员函数execute() /var/www/prepared.php 第 12 行...

php mysql mysqli prepared-statement

回答 3 投票 0

使用 INSERT ON CONFLICT 和几何图形的 Postgres 参数化查询在 PHP 中不起作用

我不知道为什么这不起作用。是否与在查询中使用参数两次有关？使用 PHP 7.4.33、Postgres PostgreSQL 9.6.22。错误是：警告：pg_query_params()：查询失败：...

php sql postgresql prepared-statement postgres-9.6

回答 1 投票 0

我是否必须对所有 SQL 查询使用准备好的语句？

到目前为止，我只使用准备好的语句进行 SQL 插入，但我想知道是否必须对所有 SQL 查询使用准备好的语句？如果是这样，我如何在下面的 SELECT 语句中使用它们...

php mysql insert prepared-statement

回答 1 投票 0

我是否必须对所有 SQL 查询使用 PHP 准备语句？

从现在起我只使用 PHP 准备语句进行 SQL 插入，但我想知道我是否必须对所有 SQL 查询使用准备语句，如果是这样，我如何在以下 SELECT 状态中使用它们...

php mysql insert prepared-statement

回答 1 投票 0

如何在 mysqli::real_connect() 之后重用 mysqli_stmt

我有一些脚本在数据库上运行很长时间（有时几个小时），我想让它们尽可能强大。因此我创建了一个类 Extended_mysqli 扩展 mysqli {...

php mysqli prepared-statement

回答 1 投票 0

使用 MySQLi 在 PHP 中使用多个准备好的语句

我想用 PHP 和 MySQLi 制作两个准备好的语句，一个紧接另一个。我是 PHP 和 MySQLi 的新手，所以我不知道是否应该关闭语句，关闭数据库连接...

php mysqli prepared-statement

回答 3 投票 0

循环多维数组并对每对值子数组执行 INSERT 查询

我正在寻找一种实用的方法，为每 2 个内容数组记录创建一个新的数据库记录，并使用前一个子数组的日期值。至于你的问题：内容永远有 24

php arrays mysqli prepared-statement sql-insert

回答 3 投票 0

mysqld_stmt_execute 的参数不正确，参数匹配查询

我正在尝试使用 LIKE 使用 mysql2 搜索 mysql 表中的行，但我在控制台中收到有关参数不正确的错误。准备好的语句的参数与

mysql node.js typescript prepared-statement node-mysql2

回答 1 投票 0

Java Spring 将Arraylist插入postgresql数据库JdbcTemplate

我需要使用 Spring 和 PostgreSQL 作为数据库制作一个 REST 应用程序。我需要向数据库中输入一些包含 String ArrayList 的对象：ArrayList < String >。我的问题是...

java spring postgresql arraylist prepared-statement

回答 2 投票 0

如何在执行语句中使用存储过程参数？

我有一个简单的存储过程：分隔符 $$ 创建过程 `findUserByName`(IN `name` VARCHAR(36)) 开始设置@name = 名称； PREPARE findStmt FROM 'SELECT * FROM user WHERE name=?'; 执行

php mysql stored-procedures prepared-statement

回答 1 投票 0

prepared-statement 相关问题

最新问题