jjzjj

php - mySQL 语句的第一个词不能是 DELETE 或 UPDATE

coder 2023-10-22 原文

我目前正在写一个查询数据库的页面，而不是使用命令行(它只是为了练习PHP如何与整个数据库交互)。

现在，我正在尝试限制删除或更新数据，即没有 DELETE、DROP 或 UPDATE 语句。修剪所有空格(包括\r 和\s 等)后，仅扫描第一个单词以确定它是什么类型的查询就足够了吗？换句话说，是否可以编写 DELETE、DROP 或 UPDATE 查询而不将它们作为修剪空格后的第一个词？

我目前正在使用 mysqli_query，因此无法执行多个查询。

编辑 1:添加相关代码@Tim。

$queryCheck = strtolower($query);
$queryCheck = preg_replace("/\s+/", "", $queryCheck);

if ( strpos($queryCheck, "deletefrom") === 0 ) {...}
else if ( strpos($queryCheck, "update") === 0) {...}
else if ( strpos($queryCheck, "create") === 0) {...}
else if ( strpos($queryCheck, "drop") === 0) {...}

最佳答案

虽然将用户输入作为代码进行评估从来都不是一个好主意，但如果您是这样的话，我想不出可以用来更改数据的查询

  1. 将所有空格(包括换行符)转换为单个空格。
  2. 检查第一个单词是否为UPDATE、DELETE、DROP、ALTER、 TRUNCATE 或任何其他可用于以某种方式更改数据或表本身的关键字

但是，请注意如下所示的查询:

--SELECT * FROM `table`
DROP table `table`

如果您不去除换行符，该查询将被执行，因为尽管它不是以 DROP 开头并且看起来是多个查询，但第一行已被注释掉。

在查看您的代码后，我会添加此 if 语句:

if ( substr($queryCheck, 0, 6) != "select" && substr($queryCheck, 0, 6) != "insert" && substr($queryCheck, 0, 4) != "show" ) {
  die("You can only execute select, insert, or show queries!");
}

这会检查第一个单词是select、insert 还是show。如果不是，脚本将停止执行。它也更安全一些，因为它不是将所有 MySQL 查询列入白名单，然后将一些查询放入黑名单，而是从黑名单上的所有函数开始，然后将一些函数放入白名单。

关于php - mySQL 语句的第一个词不能是 DELETE 或 UPDATE，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/32171930/

DELETEUPDATEcodequeryChecksectionphpmysql

有关php - mySQL 语句的第一个词不能是 DELETE 或 UPDATE的更多相关文章

  1. ruby-on-rails - 如何验证 update_all 是否实际在 Rails 中更新 - 2

    给定这段代码defcreate@upgrades=User.update_all(["role=?","upgraded"],:id=>params[:upgrade])redirect_toadmin_upgrades_path,:notice=>"Successfullyupgradeduser."end我如何在该操作中实际验证它们是否已保存或未重定向到适当的页面和消息？ 最佳答案 在Rails3中，update_all不返回任何有意义的信息，除了已更新的记录数(这可能取决于您的DBMS是否返回该信息)。http://ar.ru

  2. ruby - 使用 Vim Rails，您可以创建一个新的迁移文件并一次性打开它吗？ - 2

    使用带有Rails插件的vim，您可以创建一个迁移文件，然后一次性打开该文件吗？textmate也可以这样吗？ 最佳答案 你可以使用rails.vim然后做类似的事情::Rgeneratemigratonadd_foo_to_bar插件将打开迁移生成的文件，这正是您想要的。我不能代表textmate。 关于ruby-使用VimRails，您可以创建一个新的迁移文件并一次性打开它吗？，我们在StackOverflow上找到一个类似的问题： https://sta

  3. ruby-on-rails - Rails - 一个 View 中的多个模型 - 2

    我需要从一个View访问多个模型。以前，我的links_controller仅用于提供以不同方式排序的链接资源。现在我想包括一个部分(我假设)显示按分数排序的顶级用户(@users=User.all.sort_by(&:score))我知道我可以将此代码插入每个链接操作并从View访问它，但这似乎不是“ruby方式”，我将需要在不久的将来访问更多模型。这可能会变得很脏，是否有针对这种情况的任何技术？注意事项:我认为我的应用程序正朝着单一格式和动态页面内容的方向发展，本质上是一个典型的网络应用程序。我知道before_filter但考虑到我希望应用程序进入的方向，这似乎很麻烦。最终从任何

  4. ruby-on-rails - 渲染另一个 Controller 的 View - 2

    我想要做的是有2个不同的Controller，client和test_client。客户端Controller已经构建，我想创建一个test_clientController，我可以使用它来玩弄客户端的UI并根据需要进行调整。我主要是想绕过我在客户端中内置的验证及其对加载数据的管理Controller的依赖。所以我希望test_clientController加载示例数据集，然后呈现客户端Controller的索引View，以便我可以调整客户端UI。就是这样。我在test_clients索引方法中试过这个:classTestClientdefindexrender:template=>

  5. ruby - 多个属性的 update_column 方法 - 2

    我有一个具有一些属性的模型:attr1、attr2和attr3。我需要在不执行回调和验证的情况下更新此属性。我找到了update_column方法，但我想同时更新三个属性。我需要这样的东西:update_columns({attr1:val1,attr2:val2,attr3:val3})代替update_column(attr1,val1)update_column(attr2,val2)update_column(attr3,val3) 最佳答案 您可以使用update_columns(attr1:val1,attr2:val2

  6. ruby-on-rails - 如果 Object::try 被发送到一个 nil 对象，为什么它会起作用？ - 2

    如果您尝试在Ruby中的nil对象上调用方法，则会出现NoMethodError异常并显示消息:"undefinedmethod‘...’fornil:NilClass"然而，有一个tryRails中的方法，如果它被发送到一个nil对象，它只返回nil:require'rubygems'require'active_support/all'nil.try(:nonexisting_method)#noNoMethodErrorexceptionanymore那么try如何在内部工作以防止该异常？ 最佳答案 像Ruby中的所有其他对象

  7. ruby - 为什么 SecureRandom.uuid 创建一个唯一的字符串？ - 2

    关闭。这个问题需要detailsorclarity.它目前不接受答案。想改进这个问题吗？通过editingthispost添加细节并澄清问题.关闭8年前。Improvethisquestion为什么SecureRandom.uuid创建一个唯一的字符串？SecureRandom.uuid#=>"35cb4e30-54e1-49f9-b5ce-4134799eb2c0"SecureRandom.uuid方法创建的字符串从不重复？

  8. ruby-on-rails - Rails - 从另一个模型中创建一个模型的实例 - 2

    我有一个正在构建的应用程序，我需要一个模型来创建另一个模型的实例。我希望每辆车都有4个轮胎。汽车模型classCar轮胎模型classTire但是，在make_tires内部有一个错误，如果我为Tire尝试它，则没有用于创建或新建的activerecord方法。当我检查轮胎时，它没有这些方法。我该如何补救？错误是这样的:未定义的方法'create'forActiveRecord::AttributeMethods::Serialization::Tire::Module我测试了两个环境:测试和开发，它们都因相同的错误而失败。 最佳答案

  9. ruby - 用 Ruby 编写一个简单的网络服务器 - 2

    我想在Ruby中创建一个用于开发目的的极其简单的Web服务器(不，不想使用现成的解决方案)。代码如下:#!/usr/bin/rubyrequire'socket'server=TCPServer.new('127.0.0.1',8080)whileconnection=server.acceptheaders=[]length=0whileline=connection.getsheaders想法是从命令行运行这个脚本，提供另一个脚本，它将在其标准输入上获取请求，并在其标准输出上返回完整的响应。到目前为止一切顺利，但事实证明这真的很脆弱，因为它在第二个请求上中断并出现错误:/usr/b

  10. ruby - 一个 YAML 对象可以引用另一个吗？ - 2

    我想让一个yaml对象引用另一个，如下所示:intro:"Hello,dearuser."registration:$introThanksforregistering!new_message:$introYouhaveanewmessage!上面的语法只是它如何工作的一个例子(这也是它在thiscpanmodule中的工作方式。)我正在使用标准的ruby​​yaml解析器。这可能吗？ 最佳答案 一些yaml对象确实引用了其他对象:irb>require'yaml'#=>trueirb>str="hello"#=>"hello"ir

随机推荐