php 参数化查询

在学习注入时,MetInfo cms中出现一个注入点,我寻到源代码:php

$show = $db->get_one("SELECT * FROM $met_column WHERE id=$id and module=1");

不懂php,看到这个,就误觉得这是参数化。参数化不是能够防注入么,怎么还会有注入点呢。html

后面深刻了解发现。所谓的参数话查询,不是指程序层面的参数话,而是指数据库接口的参数化。 形式:web

fetch_one('select * from user where name=?', @name)

对于php采用了参数查询后,是能作到防注入的。数据库

能够了解的php参数化查询资料学习

相关文章
相关标签/搜索