关于PHP注入问题，我把php.ini所有错误提示都屏蔽了，还能注入吗？

关闭错误提示 在对POST GET REQUEST 进行过滤这也比较好些

解决方案 »

  1.   

    2回事情，如果sql语句没有进行检查，你就是关闭错误提示，也是没有用的
      

  2.   


    一来这个必须建立在你在任何其它地方都没有透露这些信息的基础上。 比如有时候url上的变量名和数据库字段是一致的，比如很多字段名也是很普遍被使用的，比如id，username，...等， 或者如果你有其它漏洞二来就算网站本身很完美，至少你的离职员工知道这些信息，或你的某些技术支持，合作方，如果参与到部分开发中。 
    或者如果网站全部或部分使用了开源软件
      

  3.   

    改错误信息的方式，属于掩耳盗铃，注入攻击还会执行只不过增加了难度罢了。最好是对参数的'”进行过滤，对数字型外餐进行数值判定，或者使用框架通过model进行操作，以解决诸如问题