注入SQL类代码

Question

我正在研究DB类，在测试时，我发现注入了代码，我在field1中添加了一个小的JS脚本，这就是结果：

{{1}}

＆GT;

如何避免这种注射？

感谢您的帮助

Answer 1

  好吧，基本上，我使用了bindParam，并在插入时删除了   脚本标签

你的假设是错误的。您在HTML中嵌入了JavaScript，而后者又嵌入在SQL中。每种语言都有不同的逃避方案，并带来不同的风险。 bindParam仅处理SQL注入，即最外层。它不涉及转义HTML，删除<script>代码，这样做很好。

所以底线是：代码中没有SQL注入漏洞。您的应用程序可能也可能不容易受到XSS或其他攻击，但这超出了SQL注入的范围。