sqlsrv_query函数是否足以阻止DB注入？

Question

我正在尝试在我的第一个web api上阻止数据库注入，我不确定使用sqlsrv_query函数是否足够。

Answer 1

是的，您是should be safe，前提是您：

• 使用?占位符
参数化所有用户提供的值
• 以正确的顺序为$params中的每个占位符提供值

但请注意，这仅适用于值 - 您无法以这种方式参数化列名或表名。在这种情况下，您需要执行验证，例如允许列/表等的白名单。