以下MySql存儲過程是否容易受到sql注入？

Question

閱讀了幾乎所有的帖子，但無法判斷我的程序是否易受傷害？任何幫助表示讚賞。

1）調用過程爲：

$query = ($is_mine?'call dispatch.dis_get_my_assigned_tasks("'.$username.'");' 

步驟：

CREATE DEFINER=`test`@`localhost` PROCEDURE `dis_get_all_assigned_tasks`() 
BEGIN  
    select distinct at_id, at_issues, at_location, at_room_number, user_fname, 
     from dispatch.dis_assigned_tasks 
     left outer join dispatch.dis_users 
     on user_id = at_user 
    order by at_location, at_user_pickup_timestamp desc; 
END 

2）調用方法如：

$query = "call dispatch.dis_get_user_info('".$username."');"; 

步驟：

CREATE DEFINER=`test`@`localhost` PROCEDURE `dis_get_user_info`(IN username VARCHAR(45)) 
BEGIN  
    select * from dispatch.dis_users where user_username = username; 
END 

Answer 1

程序不容易被SQL注入，但是您的查詢是。

爲了防止（和了解）SQL注入，請參閱我們的參考問題：

• How can I prevent SQL injection in PHP?

對於「幾乎所有的職位對這個」你說你讀過看起來他們沒有很好地涵蓋這個話題。我建議你選擇更好的教材。

• SQL Injection Prevention Cheat Sheet（你需要能夠讀取不同語言編寫的代碼）