试图理解SQL注入

Question

对MySQL有点新，但如果我使用HTML创建一个页面，我需要使用prepeard语句来防止SQL注入？ 或者只有当我使用文本iput？ 也许我使用文本输入并不重要，因为用户可以在使用浏览器检查工具来添加文件时编辑文件。

如果我使用PHP而不是HTML来包含它更容易注入代码？

比方说，我使用Siteground设置了一个站点，我在哪里可以找到我需要编辑的文件来防止这种情况，PHP或MySQL？

或者我只需要担心这个，如果我写一些自定义的PHP/MySQL代码处理传入数据到数据库？

或者我问错了问题？

谢谢！

-A

Answer 1

SQL注入是由用户编写的恶意代码作为用户输入，然后将其发送到服务器的攻击类型。如果数据库服务器执行这样的代码，那么会发生不好的事情。

防止执行用户输入中提供的恶意SQL等效于转义查询的动态参数。这可以通过PDO或mysqli_real_escape_string完成。

因此，为了确保您无法进行SQL注入，只需检查所有执行直接MySQL命令的位置，并确保参数已被转义。