SQL注入保护 - 何时何地

Question

我正在构建一个网站，该网站使用通过URL传递的信息从数据库表中挑选信息，但引起了我的注意，这样做可能会导致SQL注入。正如我以为这只是一个问题，你是插入信息到数据库中，我有点困惑，你应该保护你的代码的时间，方式和位置。

目前，我有一个网址，它看起来像：

www.website.com/article.php?title=title&id=1 

这是htaccess的缩短www.website.com/article/title/1

在我article.php页我那么有：

<?php 
if(isset($_GET["id"])){$url_id = $_GET["id"];}else{ 
header("Location: $site_url"); 
exit(); 
}; 
?> 
<?php 
if(isset($_GET["title"])){$url_title = $_GET["title"];}else{ 
header("Location: $site_url"); 
exit(); 
}; 
?> 
<?php 
$article_sql = "SELECT ... 

我目前使用mysqli_real_escape_string来防止SQL注入威胁，但我不确定在这里使用它。我猜测加入...

... 
<?php 
if(isset($_GET["title"])){$url_title = $_GET["title"];}else{ 
header("Location: $site_url"); 
exit(); 
}; 
?> 
<?php 
$url_id = mysqli_real_escape_string($url_id); // ADDED 
$url_title = mysqli_real_escape_string($url_title); // ADDED 
?> 
<?php 
$article_sql = "SELECT 
... 

应该这样做，但这是正确的吗？

Answer 1

您已经在使用mysqli_，请充分利用它。以下是基于您提供的代码的简单示例：

<?php 
// $mysqli is the connection 
$article_sql = $mysqli->prepare("SELECT * FROM table WHERE url_id = ? AND url_title = ?"); 

$article_sql->bind_param("is", $url_id, $url_title); 
$article_sql->execute(); 

$result = $article_sql->get_result(); 
while ($row = $result->fetch_array(MYSQLI_NUM)) { 
    foreach ($row as $r) { 
    print "$r "; 
    } 
    print "\n"; 
}