는 mysqli의 "mysqli_real_escape_string" "SQL 공격에 충분합니까?

$email = mysqli_real_escape_string($db_con, $_POST['email']);
$query = "SELECT * FROM users WHERE email = '" . $email . "'";

공격자는 "email'@example.com"과 같은 이메일 주소를 입력하여 쿼리를 이용하여 탈출 한 입력 후 추가 SQL 문을 추가 할 수 있습니다. "mysqli_real_escape_string ()"대신

의 준비된 진술의, SQL 주입을 방지하는 가장 효과적인 방법은 준비된 진술을 사용하는 것입니다. 준비된 명령문은 쿼리 문자열과 별도의 데이터 오염을 방지합니다.

$ stmt = $ db_con-> 준비 ( "사용자에 삽입 (이메일, PSW) 값 (?,?)"); $ stmt-> bind_param ( 'ss', $ email, $ psw); $ email = mysqli_real_escape_string ($ db_con, $ _post

$stmt = $db_con->prepare("INSERT INTO users (email, psw) VALUES (?, ?)");
$stmt->bind_param('ss', $email, $psw);
$email = mysqli_real_escape_string($db_con, $_POST['email']);
$psw = mysqli_real_escape_string($db_con, $_POST['psw']);
$stmt->execute();

엄격한 문자 화이트리스트

엄격한 문자 화이트리스트를 구현하면 보안을 보장 할 수 있습니다. 여기에는 허용 된 문자 만 포함되도록 입력 필터링이 포함됩니다.

결론

"mysqli_real_escape_string ()" "단독은 SQL 주입로부터 보호하기에 충분하지 않습니다. 준비된 진술과 엄격한 화이트리스트는 이러한 공격에 대한보다 강력한 보호 조치를 제공합니다.