防止網絡表單中的安全風險

我一直在想，當您在網站上做網頁表單時，無論是註冊表單還是搜索字段，您都放棄了您的字段名稱，以至於存在安全風險或不存在？防止這種情況的最佳方法是什麼？防止網絡表單中的安全風險

E.g：<input name="person_name">

2011-10-24 AAA

人們知道符號名稱的風險是什麼？ – tenfour

這是不是一個安全隱患，它只是成爲在PARAMS的關鍵部分的名稱。

2011-10-24 12:25:10 alex

是不是更好，如果在我用一個不同的名稱的形式說「field1」，然後在進程頁使用$ name = mysql_real_escape_string（$ _ POST ['field1']）;並使用該變量插入person_name？ – AAA

請不要試圖通過轉義字符來防止SQL注入攻擊。使用PDO API創建參數化查詢。請參閱PDO manual on Prepared Statements

不使用相同的數據庫列名稱和HTML表單字段名稱最多隻是默默無聞的安全性。

2011-10-24 12:35:32

您可以將此作爲回覆評論發佈給AAA，而不是作爲OP原始問題的答案。 – Cheekysoft

@Cheekysoft AAA是OP –

好吧，我讀過，但我有點問題。不escape_string防止這些惡意攻擊。我只是爲where查詢做了1 = 1，並且還使用了一些代碼來查看會發生什麼。我的腳本沒有顯示任何內容。那麼，我應該使用PDO的原因是什麼？我不質疑其有效性，但只是想知道更多。 – AAA

回答