标签： php oracle sql-injection
我正在查看一些旧的PHP代码，试图弄清楚它是否容易受到SQL注入攻击。我的老板认为这是安全的，但我犹豫是否接受这一点。它使用的是Oracle DB。
这是旧代码，查询是通过字符串连接（sprintf）构建的。但是，用户输入字符串删除了所有连字符和空格（通过str_replace），并在其上调用addslashes（）。在这种情况下是否还存在任何攻击威胁？你能举个例子吗？
自编写代码以来，我们已经开始使用参数化查询，所以理想情况下我们将其更新为，但我试图证明需要这样做。