prepared-statement 相关问题

Prepared Statement(或参数化语句)是一种预编译的SQL语句,用于提高性能并减轻SQL注入攻击。准备语句用于许多流行的关系数据库管理系统。

操作数类型冲突:int与sql中的date不兼容

我正在编写一条插入语句,但出现上述错误 插入查询 var insertSql = string.Format( $"插入销售(日期、团队、销售)值 ({0}、{1}、{2})", ...

回答 1 投票 0

在 PostgreSQL 的存储函数中使用准备好的语句

我在数据库中有一张表: 创建表存储( ... n_status 整数不为空, t_tag varchar(4) t_name varchar, t_description varchar,

回答 5 投票 0

在存储函数中使用准备好的语句

我在数据库中有一张表: 创建表存储( ... n_status 整数不为空, t_tag varchar(4) t_name varchar, t_description varchar,

回答 5 投票 0

什么是准备好的陈述?

我在 postgres pg_log 目录中的 .log 文件中看到一堆行,内容如下: 错误:准备好的语句“pdo_pgsql_stmt_09e097f4”不存在 准备了什么状态...

回答 2 投票 0

PostgreSQL 中的查看与准备语句

视图(非物化)的处理方式是将查询存储在数据库上,并在调用该视图时执行它。 准备好的语句也以相同的方式处理,但它们是

回答 2 投票 0

如何删除 PostgreSQL 中的预准备语句?

我已经通过(PostgreSQL 的)libpq 创建和使用准备好的语句。我想知道是否有一种方法可以在不断开数据库连接的情况下删除准备好的语句?或者最好的...

回答 3 投票 0

如何删除libpq(PostgreSQL的)中的预备语句?

我已经通过(PostgreSQL 的)libpq 创建和使用准备好的语句。我想知道是否有一种方法可以在不断开数据库连接的情况下删除准备好的语句?或者最好的...

回答 3 投票 0

有没有办法删除libpq(PostgreSQL的)中已经准备好的语句?

我已经通过(PostgreSQL 的)libpq 创建和使用准备好的语句。我想知道是否有一种方法可以在不断开数据库连接的情况下删除准备好的语句?或者是...

回答 3 投票 0

如果使用准备好的 PHP/MySQL 查询,我需要清理输入吗?

鉴于以下代码,我需要逃逸并清理 $city 吗? 鉴于以下代码,我需要转义并清理$city吗? <?php $mysqli = new mysqli("localhost", "my_user", "my_password", "world"); /* check connection */ if (mysqli_connect_errno()) { printf("Connect failed: %s\n", mysqli_connect_error()); exit(); } $city = "Amersfoort"; /* create a prepared statement */ if ($stmt = $mysqli->prepare("SELECT District FROM City WHERE Name=?")) { /* bind parameters for markers */ $stmt->bind_param("s", $city); /* execute query */ $stmt->execute(); /* bind result variables */ $stmt->bind_result($district); /* fetch value */ $stmt->fetch(); printf("%s is in district %s\n", $city, $district); /* close statement */ $stmt->close(); } /* close connection */ $mysqli->close(); ?> 使用准备好的查询时是否需要清理任何输入? 不,您不必为了注射保护而逃脱它或对其进行消毒。对于其他应用程序特定的内容,您可以对其进行清理。 不久前我也有过类似的问题: mysqli_stmt_bind_param SQL注入 您直接从 php.net 上有关 mysqli::prepare 的手册复制了该代码片段。在同一页上有以下文字: 准备好的语句的目的是不在 SQL 语句中包含数据。将它们包含在 SQL 语句中是不安全的。始终使用准备好的语句。它们使用起来更干净(代码更容易阅读)并且不易受到 SQL 注入。 这就是你问题的答案;) 此外。另外。 准备好的语句如果使用得当,几乎可以完全缓解 SQL 注入问题。但是您应该在适当的情况下格式化/清理输入数据。清洁输入不是一项安全功能,但为了稳健性和可用性,建议这样做。对于您的 $city,您可能需要删除所有非单词字符: $city = trim(preg_replace("/[^\w-]+/", " ", $city)); 再次强调:不会取代数据库转义或准备好的语句,但确保使用一致的数据。 我意识到这个问题很老了。我自己在搜索相同信息时偶然发现了它。我会对桑德的回答发表评论,但我还没有足够的声誉来发表评论。 Sander 说你不需要消毒,但是在 http://www.w3schools.com/php/php_mysql_prepared_statements.asp (我意识到 w3schools 并不总是一个完全最新且准确的信息来源,但我发现它以一种明智、易于理解的方式阐明了事情),他们说“注意:如果我们想插入来自外部来源的任何数据(例如用户输入),那么对数据进行清理和验证非常重要。 ” 所以看来当使用表单并接受用户输入时,你应该进行清理。

回答 4 投票 0

MYSQLI_ASYNC 可用于 PHP 中的准备好的语句吗?

利用 MySQL 本机驱动程序,您可以将 MYSQLI_ASYNC 标志与 mysqli_query 函数一起使用来进行并行、异步 MySQL DB 调用。 我明白这一切是如何运作的,但我真正喜欢的是......

回答 1 投票 0

如何用芭蕾舞演员写准备好的陈述?

有没有办法在ballerina中编写SQL准备语句?或者使用以下方法是一个好习惯吗? 函数 selectUserQuery(string username) 返回 sql:ParameterizedQ...

回答 1 投票 0

如何检查表中用户是否存在

如果 $name 和 $email 与现有记录不匹配,我正在尝试为新用户创建帐户,但以下代码片段正在插入与另一个客户相同的记录,而我试图阻止这种情况......

回答 2 投票 0

如何使用mysqli准备好的语句?

我正在尝试准备好的语句,但下面的代码不起作用。我收到错误: 致命错误:在非对象上调用成员函数execute() /var/www/prepared.php 第 12 行...

回答 3 投票 0

使用 INSERT ON CONFLICT 和几何图形的 Postgres 参数化查询在 PHP 中不起作用

我不知道为什么这不起作用。是否与在查询中使用参数两次有关?使用 PHP 7.4.33、Postgres PostgreSQL 9.6.22。 错误是: 警告:pg_query_params():查询失败:...

回答 1 投票 0

我是否必须对所有 SQL 查询使用准备好的语句?

到目前为止,我只使用准备好的语句进行 SQL 插入,但我想知道是否必须对所有 SQL 查询使用准备好的语句?如果是这样,我如何在下面的 SELECT 语句中使用它们...

回答 1 投票 0

我是否必须对所有 SQL 查询使用 PHP 准备语句?

从现在起我只使用 PHP 准备语句进行 SQL 插入,但我想知道我是否必须对所有 SQL 查询使用准备语句,如果是这样,我如何在以下 SELECT 状态中使用它们...

回答 1 投票 0

如何在 mysqli::real_connect() 之后重用 mysqli_stmt

我有一些脚本在数据库上运行很长时间(有时几个小时),我想让它们尽可能强大。 因此我创建了一个 类 Extended_mysqli 扩展 mysqli {...

回答 1 投票 0

使用 MySQLi 在 PHP 中使用多个准备好的语句

我想用 PHP 和 MySQLi 制作两个准备好的语句,一个紧接另一个。我是 PHP 和 MySQLi 的新手,所以我不知道是否应该关闭语句,关闭数据库连接...

回答 3 投票 0

循环多维数组并对每对值子数组执行 INSERT 查询

我正在寻找一种实用的方法,为每 2 个内容数组记录创建一个新的数据库记录,并使用前一个子数组的日期值。至于你的问题:内容永远有 24

回答 3 投票 0

mysqld_stmt_execute 的参数不正确,参数匹配查询

我正在尝试使用 LIKE 使用 mysql2 搜索 mysql 表中的行,但我在控制台中收到有关参数不正确的错误。准备好的语句的参数与

回答 1 投票 0

© www.soinside.com 2019 - 2024. All rights reserved.