将$ _POST值与数据库字段进行比较

Question

我很确定这段代码有问题：

$sql="select * from user where username={$_POST['username']}AND pwd=   {$_POST['password']}";

$r = mysqli_query($link,$sql);
if($r)
{ 
$_SESSION['loggedin']=true;

echo "Welcome". $_POST['username']; 
}

Answer 1

是的，您接触到SQL注入。请了解有关预先准备的陈述。

此外，您显然以纯文本格式存储密码。这是一个安全风险，因为如果您的数据库被暴露（由于SQL注入攻击，例如，咳嗽），您的所有密码都可能被泄露。

一些链接：

• 的 How can I prevent SQL injection in PHP?
• 的 Prepared Statements - Wikipedia
• 的 How do you use bcrypt for hashing passwords in PHP?