sqlsrv_query函數是否足以防止數據庫注入？

Question

我試圖防止我的第一個Web API上的數據庫注入，我不確定使用sqlsrv_query函數是否足夠。

Answer 1

是的，你should besafe，前提是您：

• 參數化的所有用戶提供與?佔位符
• 每個佔位符以正確的順序

不過請注意提供$params值的值這僅適用於值 - 不能以此方式對列名或表名進行參數化。在這種情況下，您需要執行驗證，如允許的列/表格的白名單等。