使用foreach和mysqli_real_escape_string很多帖子值

Question

我有一個頁面，收集許多數據，我需要逃避這些數據之前做一個SQL查詢插入數據庫。

我的SQL查詢之前寫：

foreach($_POST as $k => $v) $_POST[$k] = mysqli_real_escape_string($conn,$v); 

我的$ conn是：

$conn = new mysqli('localhost', 'xxx', 'yyy', 'zzz'); 

仍然可以工作，但我不知道這是否是安全的。

Answer 1

這是極其錯誤的方式處理POST變量。 錯誤的方式很多。

當然這是不安全的。

取決於您要在查詢中使用POST數據的方式，此代碼可能會被更正或可能無法使用且不安全。

正如Barmar所說的，你應該使用準備好的語句。如果您也有插入數據的準備語句，那更好。

Answer 2

這應該是安全的。

$query=$conn->prepare("select * from yourtable where colum= ? and column2 = ? "); 
$query->bind_param('ss', $_POST['var1'],$_POST['var2']); 

Answer 3

試試這個

$conn = new mysqli('localhost', 'xxx', 'yyy', 'zzz'); 

$ARR_DATA = array(); 
foreach($_POST as $k => $v) 
{ 
    $ARR_DATA[$k] = mysqli_real_escape_string($conn,$v); // store your escaped value in $ARR_DATA 
} 

現在你可以使用，而不是使用$_POST，無論你想$ARR_DATA值。