Когда я должен использовать PHP mysqli_real_escape_string()?

Question

Я знаю, что mysqli_real_escape_string Функция может использоваться для предотвращения инъекций SQL. (Однако mysql_real_escape_string() не будет защищать вас от некоторых инъекций)

Мой вопрос в том, когда следует использовать функцию mysqli_real_escape_string()?

Ситуация 01

У меня есть регистрационная форма с 4 полей под названием Имя, Фамилия, электронная почта, пароль.

Должен ли я использовать mysqli_real_escape_string() для вставки запроса? Все четыре поля?

Или его достаточно использовать в форме входа?

Ситуация 02

У меня есть страница профиля как profile.php? User_name = damith

я использовал $ _GET [ 'user_name'] во многих функциях на этой странице.

Должен ли я использовать mysqli_real_escape_string() во всех этих функциях?

Answer 1

mysqli_real_escape_string() - это не лучший способ гарантировать, что данные, которые вы сохраняете в своей базе данных, безопасны. Вместо этого вы должны использовать подготовленные заявления: http://php.net/manual/en/mysqli.quickstart.prepared-statements.php

Что касается вашего вопроса: каждый раз, когда вы помещаете данные, которые вы не уверены (особенно если эти данные поступают из неизвестных источников, таких как веб-форма), в вашу базу данных вы должны делать убедитесь, что он правильно отформатирован для вашей базы данных. mysqli_real_escape_string() может делать это только для строковых литералов, поэтому подготовленные утверждения - лучший подход. Каждый раз, когда вы выполняете запрос, который использует данные, предоставленные пользователем, вы должны использовать подготовленные операторы.

Когда выходные данные для отображения пользователю, вам не нужно использовать mysqli_real_escape_string(), но вместо этого следует избежать в Интернете с помощью htmlspecialchars() (http://php.net/htmlspecialchars)

ситуации 1 - ДА ТОЧНО, и даже лучше было бы использовать подготовленные заявления.

ситуация 2 - Если вы показываете данные пользователю на веб-странице, вам не нужно использовать mysqli_real_escape_string(), но вместо этого следует использовать htmlspecialchars(), чтобы уменьшить риск XSS и других инъекций кода.

Несколько примеров:

<?php 
// Prepared statement. Save the user's first name to the database: 
$stmt = $mysqli->prepare("INSERT INTO users(first_name) VALUES (?)"); 
$stmt->bind_param("s", $first_name); 
$stmt->execute(); 

// Echo the user's first name back to them 
echo "Saved your first name: " . 
     htmlspecialchars($first_name) . " to the database."; 

Для получения дополнительной информации о предотвращении инъекции SQL, см это отличный ответ: How can I prevent SQL injection in PHP?

Answer 2

Вы должны использовать real_escape_string на любой параметр, который вы смешиваете как string literal в инструкции sql. И только по этим строковым буквальным значениям.

Поэтому описание Situation 01 и Situation 02 не является достаточным для ответа на эти конкретные вопросы. Вероятно, это yes.