假设你让用户插入他们的名字（或任何东西到一个表），有人试图SQL注入，但你正确地使用准备好的语句，所以查询不受影响。
$stmt = $db->prepare("INSERT INTO users (user_name) VALUES (?)");
$stmt->bindParam(1, $_POST['user_name']);但是现在您使用插入到user_name列中的值并将其插入到另一个表中。
$stmt = $db->prepare("INSERT INTO different_table (name) VALUES (
SELECT user_name FROM users WHERE userId = ?
)");user_name是否被视为字符串（假设数据类型为varchar）？换句话说，是否只需要在用户输入第一次插入并来自客户端时准备用户输入？
编辑
如果user_name中的值包含一个注入，现在我想把这个值插入到另一个表中，我是否需要首先运行select来获取这个值，然后在插入时在一个准备好的语句中使用它？像这样？
$stmt = $db->prepare("SELECT user_name FROM users WHERE user_id = 1");然后
$stmt = $db->prepare("INSERT INTO another_table (name) VALUES (?)");
$stmt->bindParam(1, $resultFromFirstQuery['user_name']);或者我可以这样做吗？
$stmt = $db->prepare("INSERT INTO different_table (name) SELECT user_name FROM users WHERE userId = ?");
1条答案
按热度按时间pbpqsu0x1#
我会说没有SQL注入是可能的，因为没有SQL语句被构造。换句话说：，SQL注入只能发生在创建SQL语句的编程语言中，而不是SQL语句本身。
详细说明：SQL注入攻击的核心是未经检查的用户输入被 * 用于 * 生成 * 一条SQL语句，该语句超出了用户输入的原始目的。
以及用户输入
对于{input.email}，则变量
$sql最终为现在的安全风险来自于在数据库上执行这个未经检查的语句。
在您的示例中，没有构造SQL。如果执行语句
SELECT的结果可能包含被视为SQL时不安全的输入，但文本字段的值永远不会在数据库上作为语句运行，因此表中是否包含12345或hacker@example.com' OR 1 = 1; --并不相关。我能想到的唯一可能的情况是，如果你的数据库服务器有一个错误，在内存中的特定位置有一些特定的字节集可能会导致内存溢出，然后打开一个攻击向量。它也是一种你无法对抗的东西，与SQL注入无关。