我安全嗎？ [試圖阻止SQL注入]

Question

我在想，如果我是SQL注入安全的，如果我有這樣的腳本：

< script> 

    //some stuff 

    var item = <?php echo json_oncode($PHPVAR) ?> 

    item.replace(/"/,'&quot').replace(/'/,'&#39'); 

    //do more script stuff with item 

< /script> 

目前使用Laravel（PHP），與PDO 是否有其他任何我應該知道/注意什麼？ （我沒有白名單/黑名單之前提交到數據庫b/c PDO這樣做對我來說，從我的理解）

另外我問b/c項來自用戶輸入，它動態地創建HTML使用項目的價值

Answer 1

這個問題在提供的資源量方面有些難以理解（至少不會給您一種錯誤的安全感）。

由於您使用的是PDO我會繼續前進，並說您應該使用prepared statements。整體上的注入主要取決於Web應用程序如何處理用戶輸入。

你的問題應該是「這段用戶輸入與我的應用程序有什麼相互作用？」 - 當然，爲了保護自己免受（B）SQLi（或注入[XSS/LDAP]的其他變體）的影響，沒有一套事情要做。

下面是一些很好的資源，這將幫助你進一步整體上關於SQL注入（你需要知道如何，如果你想能夠覆蓋特定的東西，一般的脆弱性工作）。

OWASP SQL Injection

Acunetix SQL Injection

SQL Injection Cheat Sheet

沒有更具體回答你的問題，除了可能進入更深如何處理用戶輸入與問候到您所提供的代碼（我們可能但我不認爲是必需的）。