最近的项目需要特别注意sql安全问题,到网上查了一些关于sql注入的,多数是说:
$password = md5($_POST['password']);
select * from user where user='$user' and password='$password'; 不安全,原因是$user = "' or '1=1'" 或者$user = "'; -- " 之类的,登录查询分开两句查就没各种问题了。
例如:
$find = M('User')->where("username='$username'")->find();
$uid = $find['uid'];
$find2 = M('User')->where("uid='$uid'")->find();
$find_password = $find2['password'];
if($find_password == md5($password)){...}
另外,看到一些关于组装sql语句不安全,说是可以在变量中加上
自定义的查询,如:
select * from user ..... (select * from infomation ...) 等,这让我觉得倒是TP的__TABLE__,__PREFIX__字符变的不安全了。(针对TP3.2.3),因为在提交的数据不知道表前缀的情况下,给字符串加上__TABLE__ 或者 __PREFIX__,又在接收数据后再组装SQL,正好把表前缀自动加上了。
所以 ,我觉得过滤提交数据时,也需要把__TABLE__ 和 __PREFIX__过滤掉。