MYSQL間隔查詢SQL注入

Question

我有這個簡單的MySQL查詢：

SELECT * FROM table WHERE date > now() - INTERVAL $hours HOUR 

$hours是一個PHP的GET變量。在查詢中使用它之前，我是否必須對此變量進行任何檢查以避免SQL注入或足夠安全？我使用的PDO語句

Answer 1

像這樣的好：

$sth = $Db->dbh->prepare("SELECT * FROM 'table' WHERE date > now() - INTERVAL :hours"); $sth->execute(array(':hours'=>$hours,':secondThing'=>$variable));

這是一個辦法esacpe你的字符串。這可能與您的代碼不同，但執行和查詢中的數組將相同（如果您使用PDO）。

Answer 2

使用預處理語句

見How can I prevent SQL-injection in PHP?

也許你直接從$ _POST或$ _GET

得到變量

$ unsafe_variable = $ _ POST [ 'USER_INPUT'];