最近在研究sql注入防止,都是在转义用户输入的一些特殊字符,我觉得好像没有这个必要啊。用户登陆,我只允许数字、字母、下划线,如果出现特殊字符我直接提示不对,都不会dql。你们说对吗?

解决方案 »

  1.   

    服务器端啊,php 正则如果发现不是我允许的字符出现,直接提示有特殊字符,不会dql,也不会给这些特殊字符注入的机会,
      

  2.   

    sql注入不仅仅是输入框 还有地址栏上的传参
      

  3.   

    服务器端啊,php 正则如果发现不是我允许的字符出现,直接提示有特殊字符,不会dql,也不会给这些特殊字符注入的机会,
    既然是服务器端验证,只要验证到位,应该没问题了~~~
      

  4.   

    关注,好多国内开源系统随便注入,但是像drupal就不行了,完全是数据库抽象层,没法注入
    ------------------------------------------------------AutoCSDN签名档------------------------------------------------------
      

  5.   

    我感觉嘛  注册登录的时候进行验证只是能防止出现万能密码这种东西 类似注释掉SLQ后边的判断语句啥的.. = =  网站注入更多的还是网页传参
      

  6.   

    用PDO 吧,严格 按照格式来,那么你就不用担心 注入了
      

  7.   

    楼主理解的防sql注入的方式太片面化了,特殊字符转义和参数的强校验都属于防sql注入的手段。两者配合效果才好。