SQLインジェクションPHP：パラメータ化クエリを使用してユーザ入力を検証する必要がありますか？例えば、私は、この入力を

Question

を持っている：

名：ウォーリー

メール：wallycat@example.com '; DROP TABLE ClientTable; PRINT「！あまりにも悪い」 -

私のパラメータ化クエリは次のとおりです。

$name = $_REQUEST['name']; 

$email = $_REQUEST['email']; 

$sql = "INSERT INTO ClientTable (Name, Email) 

     VALUES ('$name', '$email')"; 

私は、このパラメータ化クエリを使用する場合でも、私は、ユーザー入力を検証する必要がありますか？ （この場合は、電子メールフィールド）

または、私はパラメータ化されたクエリを使用しているので、既に安全です。クエリはこのすべてを単純に保存します： 'wallycat@example.com'; DROP TABLE ClientTable; PRINT 'あまりにも悪い！' - 'はデータベースにありますか？

ありがとうございました！

Answer 1

あなたはより多くのこのような何かを行う必要があります。

$sql = sprintf("INSERT INTO ClientTable (Name, Email) VALUES ('%s', '%s')", mysql_real_escape_string($name), mysql_real_escape_string($email)); 

Answer 2

パラメータ化クエリが脱出の世話をします。あなたはまだデータを検証したいと思うかもしれません。たとえば、電子メールが少なくともuser@domainのようなもので、電話番号は数字などで構成されていることを確認したいと思うかもしれません。

しかし、変数置換を使用している例では、パラメータ化されたクエリを使用しないでください。パラメータ化されたクエリはPrepared Statementを意味します。

Answer 3

あなたはパラメータ化クエリではありません

$unsafe_variable = $_POST["user-input"]; 
$safe_variable = mysql_real_escape_string($unsafe_variable); 

mysql_query("INSERT INTO table (column) VALUES ('" . $safe_variable . "')");