codeigniter中的XSS過濾不會阻止SQL注入嗎？

Question

我讀了一些表單，其中xss乾淨的codeigniter dos不會在sql注入阻止，它不應該用於輸入，但它應該用於輸出它是真實的...請任何人解釋..那麼如何防止在codeigniter中進行sql注入。

感謝您重放我.. 和遺憾的英語不好..

Answer 1

首先，這兩個議題並不是專門針對笨。但CodeIgniter有特定的方式來處理這個問題。請閱讀https://ellislab.com/codeigniter/user-guide/general/security.html

請記住，CodeIgniter不會讓您從這些中解脫出來，您必須瞭解這兩種攻擊是如何工作的。

重要的是要理解這些是兩種不同的攻擊，就像任何攻擊一樣，它們可以耦合在一起。例如使用XSS/CSRF執行SQL注入。一個精心製作的鏈接到管理員等。

XSS是什麼時候攻擊者可以注入代碼在客戶端執行。例如，在代碼中放置一個<script>標籤。如果您輸出用戶提供的數據而無需進行消毒或驗證，通常會發生這種情況。通常情況下，這可能是他們的用戶名，帖子標題，$ _GET數據等。除了腳本標記之外，還有更多方法可以在客戶端執行腳本，因此請務必閱讀相關主題。 要避免它，請始終從任何來源轉義用戶輸入的數據。 您可以閱讀更多關於它的信息https://www.owasp.org/index.php/Cross-site_Scripting_%28XSS%29

SQL注入是攻擊者爲了惡意目的可以更改SQL查詢的時間。避免注入的最常見方法是在將其傳遞給查詢之前確保轉義每個輸入。使用準備好的語句也有幫助。在CodeIgniter中，你經常使用「ActiveRecord」數據庫的東西，它爲你轉義輸入。 您可以閱讀更多關於它的信息，包括示例https://www.owasp.org/index.php/SQL_Injection

您還應該閱讀https://www.owasp.org/index.php/Top_10_2013-Top_10並熟悉最常見的攻擊。