PHP: как же одиночные кавычки и двойные кавычки работают вместе

Question

Ниже кодов взяты из одного учебника:

<?php 
// user input that uses SQL Injection 
$name_bad = "' OR 1'"; 

// our MySQL query builder, however, not a very safe one 
$query_bad = "SELECT * FROM customers WHERE username = '$name_bad'"; 

// display what the new query will look like, with injection 
echo "Injection: " . $query_bad; 

В передней части, она показывает:

Injection: SELECT * FROM customers WHERE username = '' OR 1'' 

Вопрос:

почему он показывает username = '' OR 1''?

Answer 1

См объяснение в этом изображении:

Answer 2

Строки PHP, цитируемые с " символов, интерполируют переменные и обрабатывают ' символов как литералы.

$name_bar - это строка, которая содержит ' символов.

Когда он интерполирован, все символы в нем помещаются там, где была переменная.

Answer 3

В PHP, если в двойных кавычках вы пишете какой-либо переменной ее заменить значение переменной, как отлично сделано РНР в вашем случае

// user input that uses SQL Injection 
$name_bad = "' OR 1'"; 

// our MySQL query builder, however, not a very safe one 
$query_bad = "SELECT * FROM customers WHERE username = '$name_bad'"; 

если заменить значение $ name_bad с «OR 1», то он стал бы

SELECT * FROM customers WHERE username = '' OR 1''; 

и если вы хотите, чтобы удалить лишние "до и после вашего запроса, то вы должны написать запрос, как:

// our MySQL query builder, however, not a very safe one 
$query_bad = "SELECT * FROM customers WHERE username = $name_bad"; 

Answer 4

Потому что вы в основном просто контактируете с струнами.

$query_bad = "SELECT * FROM customers WHERE username = '$name_bad'"; 

такое же, как

$query_bad = "SELECT * FROM customers WHERE username = '' OR 1''"; 

$name_bad, так как это ' OR 1'.

Answer 5

Он делает это потому, что $name_bad содержит одинарные кавычки, и вы вставили его между другим набором кавычек в другой строке.

Для лучшей практики использования:

$string = sprintf('SELECT * FROM customers WHERE username = \'%s\'', ' OR 1');

Переходим к SQL однако, необходимо будет дезинфицировать.

Если вы используете PDO, метод bindParam автоматически предотвратит SQL-инъекцию (она заявляет).

http://www.php.net/manual/en/pdo.prepared-statements.php