0

ここまたは nixcraft で必要なものを常に見つける傾向があるため、これまで質問したことはありません。

組織内の技術担当者のみが使用するアプリケーションに関するちょっとしたガイダンスを期待していました。彼らはデータベースを照会できる必要がありますが、情報の機密性のため、データ ダンプをエクスポートできるようにしたくありません。他にも注意すべきリスクがあると確信していますが、これらのリスクが何であるかは本当にわかりません. 私が考えることができる唯一のサニタイズは、SQL 構文の問題をチェックし、データ ダンプを生成するあらゆる種類のステートメントを防ぐことです。

スクリプトは、外部ライブラリを一切使用せずに PHP で記述されます。データベースのアクセス許可は SELECT に制限されるため、更新、挿入、削除などは行われません。ユーザーは SQL クエリ全体を最初から最後まで入力するため、PDO プリペアド ステートメントを利用することはできません。

ご意見をお待ちしております。

4

2 に答える 2

0

クエリがユーザー提供のデータとして使用するフィールドを制限し、それらを最初にmysqli_real_escape_stringで実行できます。

これは、完全なクエリを入力できるものではなく、検索対象のフィールドを含むフォームのみを公開していることを前提としています。

HTH

于 2013-05-07T03:53:45.493 に答える