后端开发|php教程
mysql,php,sql语句,sql注入
后端开发-php教程
各位大神好，在下是小菜鸟一枚，在实践中发现，类似如下的语句：
求一个模特网站的源码,j3455 Ubuntu,tomcat时间差8小时,爬虫代理3元,php中数组怎么赋值给数组,最好seo模板lzw
SELECT * FROM seller_item_classify where sid=$sid order by cweight asc ;
其中$sid为前端传过来的数值，seller_item_classify为表明，sid为表中的一个字段名；
如果$sid传过来的值正好是’sid’的时候，SQL的这个where就失效了，造成了全表查询；
需要金豆的源码网,vscode无法使用print,ubuntu安装c,tomcat 网站部署,sqlite安卓4.4.2,网页设计师课程,php插入数据库,ipad收件服务器怎么填,jquery插件 缩略图,前端框架的使用方法,爬虫超时,php写入txt,武威seo,springboot签名,seo h 标签,html官方网站,手机网页放大缩小代码,bootstrap中文前台模板,织梦5.7后台空白,在同一界面导航多页面html,超市销售管理系统论文,破解易语言程序教程lzw
因为在生产环境中，$sid的值可能是数值，可能是char；我应该在php里做对前端输入值的过滤？
外国开源网店源码,vscode的快捷注释键,ubuntu 系统拷贝,tomcat修改不了,蜘蛛爬虫ip,计算字符串长度 php,浙江品牌seo优化哪家便宜,谁有卡密激活页面的网站源码,aspcms幻灯片模板修改lzw
请问各位是如何看这个问题？
回复内容：
各位大神好，在下是小菜鸟一枚，在实践中发现，类似如下的语句：
SELECT * FROM seller_item_classify where sid=$sid order by cweight asc ;
其中$sid为前端传过来的数值，seller_item_classify为表明，sid为表中的一个字段名；
如果$sid传过来的值正好是’sid’的时候，SQL的这个where就失效了，造成了全表查询；
因为在生产环境中，$sid的值可能是数值，可能是char；我应该在php里做对前端输入值的过滤？
请问各位是如何看这个问题？
"SELECT * FROM seller_item_classify where sid=$sid order by cweight asc ;"
对于前端输入值，后端必须过滤，建议使用sql预处理。
SQL的条件值都加”
sid = $sid
as 别名好使吗？
加上单引号就解决了
‘SELECT * FROM seller_item_classify where sid=’.$sid.’ order by cweight asc ;’
用pdo预处理吧
<?php$sid = issset($_REQUEST[sid]) ? htmlspecialchars(trim($_REQUEST[sid])) : \;if (!$sid or $sid==sid) { // 非法请求 这里可以抛出一些异常}
