Trung tâm cá nhân
cuốn sách gpt4 ai đã làm

php - 将 SQL 转换为 PDO 以防止 SQL 注入(inject)

In lại Tác giả: Walker 123 更新时间：2023-11-29 00:30:19 25 4
mua khóa gpt4 Nike

就开发而言，我对 php 和 MySQL 还是个新手。我希望得到一些建议，以确保我做的每件事都是正确的。我有一页我认为已正确转换，还有一页需要转换。

这是我设置的那个正确吗？







$q = $_GET['q'];

// CONNECT TO THE DATABASE
$DB_NAME = 'code_storage';
$DB_HOST = 'localhost';
$DB_USER = 'user';
$DB_PASS = 'pass';

thử {
    $dbcon = new PDO("mysql:host=$DB_HOST;dbname=$DB_NAME", $DB_USER, $DB_PASS);
    //echo 'Connected to database';

    $sql = <<<>
    SELECT * 
    FROM snippets
    WHERE CODE_NAME LIKE '%$q%' OR
    CODE_DESC LIKE '%$q%' OR
    CODE_TAGS LIKE '%$q%' OR
    CODE_USAGE LIKE '%$q%'
 SQL;
    echo '
';
    echo '
';
        printf("Your search for $q returned %d records.\n", $dbcon->query($sql)->rowCount());
    echo '
';
    echo '
';

    foreach ($dbcon->query($sql) as $row) {
        //print $row['CODE_NAME'] . '
' . "\n";
        echo ' 
' . "\n";
        echo ' 
' . "\n";
        echo ' ' . $row['CODE_NAME'] . '

' . "\n";
        echo ' 
' . "\n";
        echo ' 
' . '

' . "\n";
    }


    $dbcon = null;
}
catch(PDOException $e)
{
    echo $e->getMessage();
}
 ?>

这是我仍然需要转换的那个，这是我真正需要一些帮助的一次


// CONNECT TO THE DATABASE
$DB_NAME = 'code_storage';
$DB_HOST = 'localhost';
$DB_USER = 'user';
$DB_PASS = 'pass';


$mysqli = new mysqli($DB_HOST, $DB_USER, $DB_PASS, $DB_NAME);

if (mysqli_connect_errno()) {
    printf("Connect failed: %s\n", mysqli_connect_error());
    ra();
}

// Fix for the ' and " 

$_POST['name'] = $mysqli->real_escape_string($_POST['name']);
$_POST['desc'] = $mysqli->real_escape_string($_POST['desc']);
$_POST['usage'] = $mysqli->real_escape_string($_POST['usage']);
$_POST['code'] = $mysqli->real_escape_string($_POST['code']);
$_POST['tags'] = $mysqli->real_escape_string($_POST['tags']);

$sql = <<<>
    INSERT 
    INTO snippets
    (CODE_NAME,CODE_DESC,CODE_USAGE,CODE_SYNTAX,CODE_TAGS)
    VALUES
    ('$_POST[name]', '$_POST[desc]', '$_POST[usage]', '$_POST[code]', '$_POST[tags]');
SQL;

if(!$result = $mysqli->query($sql)){
    echo '



' . "\n";
    echo '
' . "\n";
    echo ' 
' . "\n"; 
    echo ' 
' . "\n";
    echo ' There was an error' . "\n";
    echo ' ×' . "\n";
    echo ' 
' . "\n";
    echo ' 
' . "\n";
    echo '
' . "\n";
    echo '



' . "\n";
    echo '
' . "\n";
    echo ' 
' . "\n";
    die('There was an error with the code [' . $mysqli->error . ']');
    echo ' 
' . "\n";
    echo '
' . "\n";

}
    echo '



' . "\n";
    echo '
' . "\n";
    echo ' 
' . "\n"; 
    echo ' 
' . "\n";
    echo ' Code Successfully Added' . "\n";
    echo ' ×' . "\n";
    echo ' 
' . "\n";
    echo ' 
' . "\n";
    echo '
' . "\n";
    echo '



' . "\n";
*/

?>

*biên tập*到目前为止，这是我所拥有的，但它似乎没有返回任何记录，有什么想法吗？

 $q = $_GET['q'];

$DB_NAME = 'code_storage';
$DB_HOST = 'localhost';
$DB_USER = 'user';
$DB_PASS = 'pass';


$dsn = "mysql:host=$DB_HOST;dbname=$DB_NAME";
$db = new PDO($dsn, $DB_USER, $DB_PASS);

$query = "SELECT * FROM `SNIPPETS` WHERE `CODE_NAME` LIKE :name OR `CODE_DESC` LIKE :name OR `CODE_TAGS` LIKE :name OR `CODE_USAGE` LIKE :name";
$prep = $db->prepare($query);
$prep->execute(array(":name" => "%" . $q . "%"));

echo '
';
    echo '
';
       printf("Your search for $q returned %d records.\n", $prep->rowCount());
    echo '
';
echo '
';

while ($row = $prep->fetch()) {
    echo ' 
' . "\n";
    echo ' 
' . "\n";

    echo $row['CODE_NAME'] . '

' . "\n";
    echo $row['CODE_DESC'] . '

' . "\n";
    echo $row['CODE_USAGE']. '

' . "\n";
    echo ' 
' . "\n";
    echo ' 
' . '

' . "\n"; 


}

$db = null;

我发现我遇到了这个错误

Connection failed: SQLSTATE[HY093]: Invalid parameter number: number of bound variables does not match number of tokens

25 4 0
Đề xuất bài viết: MySQL转换为日期时间语法错误: unexpected IDENT_QUOTED
Đề xuất bài viết: android - .setText 方法将不起作用
Đề xuất bài viết: ios - 'RTCPeerConnection' 没有可见的@interface 声明选择器 'setLocalDescription:'
Đề xuất bài viết: mysql - 导入.php : Missing parameter: import_type error in phpMyAdmin?
Walker 123
Hồ sơ

Tôi là một lập trình viên xuất sắc, rất giỏi!

Nhận phiếu giảm giá taxi Didi miễn phí
Phiếu giảm giá taxi Didi
Các bài viết phổ biến trên toàn bộ trang web
Chứng chỉ ICP Bắc Kinh số 000000
Hợp tác quảng cáo: 1813099741@qq.com 6ren.com
Xem sitemap của VNExpress