如何使用PHP和sqlsrv驅動程序清理輸入？

Question

我正在使用sqlsrv驅動程序的PHP MSSQL項目。 阻止SQL注入攻擊的最佳方法是什麼？我需要像mysql_real_escape_string（），但是對於sqlsrv驅動程序。

Answer 1

最好的辦法不是編寫您的SQL，因此您需要使用mysql_real_escape_string()的模擬，您可以通過爲值使用佔位符然後傳遞變量（否則該變量將由mysql_real_escape_string()處理）你執行語句或打開遊標或其他任何東西。

失敗的是，看看mysql_real_escape_string()的輸出;它也可能適用於MS SQL Server。這取決於它如何逃避（以及逃避它）。

Answer 2

如果使用這樣的，報價是自動的：

$sql = "exec usp_cis_upd 
     @key = ?, 
     @value = ?"; 

$params = array(
    $key, 
    trim($_POST["value"])); 

$stmt = sqlsrv_query($dbh, $sql, $params);