我安全吗？ [试图阻止SQL注入]

Question

我在想，如果我是SQL注入安全的，如果我有这样的脚本：

< script> 

    //some stuff 

    var item = <?php echo json_oncode($PHPVAR) ?> 

    item.replace(/"/,'&quot').replace(/'/,'&#39'); 

    //do more script stuff with item 

< /script> 

目前使用Laravel（PHP），与PDO 是否有其他任何我应该知道/注意什么？ （我没有白名单/黑名单之前提交到数据库b/c PDO这样做对我来说，从我的理解）

另外我问b/c项来自用户输入，它动态地创建HTML使用项目的价值

Answer 1

这个问题在提供的资源量方面有些难以理解（至少不会给您一种错误的安全感）。

由于您使用的是PDO我会继续前进，并说您应该使用prepared statements。整体上的注入主要取决于Web应用程序如何处理用户输入。

你的问题应该是“这段用户输入与我的应用程序有什么相互作用？” - 当然，为了保护自己免受（B）SQLi（或注入[XSS/LDAP]的其他变体）的影响，没有一套事情要做。

下面是一些很好的资源，这将帮助你进一步整体上关于SQL注入（你需要知道如何，如果你想能够覆盖特定的东西，一般的脆弱性工作）。

OWASP SQL Injection

Acunetix SQL Injection

SQL Injection Cheat Sheet

没有更具体回答你的问题，除了可能进入更深如何处理用户输入与问候到您所提供的代码（我们可能但我不认为是必需的）。