<分区>
我在我的一个 php 文件中有下面的代码来从数据库中获取数据:
$products = $this->db->get_rows('SELECT * from products WHERE shop_id='.$_SESSION['shop_id'].'AND tags,title,text LIKE \'%'.$_POST['search'].'%\'');
有问题吗？我的意思是可以注入(inject) LIKE 运算符？
已编辑
请提供这种方式注入(inject)的例子
<分区>
我在我的一个 php 文件中有下面的代码来从数据库中获取数据:
$products = $this->db->get_rows('SELECT * from products WHERE shop_id='.$_SESSION['shop_id'].'AND tags,title,text LIKE \'%'.$_POST['search'].'%\'');
有问题吗？我的意思是可以注入(inject) LIKE 运算符？
已编辑
请提供这种方式注入(inject)的例子
最佳答案
任何运算符都可以在不绑定(bind)的情况下注入(inject)。
$_POST['search'] = "1%'; DROP TABLE myTable LIKE '%";
会做
.... AND tags,title,text LIKE '%1%'; DROP TABLE myTable LIKE '%%'
继续阅读 how to bind parameters .
关于php - LIKE 运算符的 MySQL 注入(inject)，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/15579898/