2 단계 SQL 삽입

Question

사용자 서식이 외부 웹 사이트로 전송되었으며 해당 웹 사이트의 응답에 고유 코드 (예 : "a87ju89y")가 포함되어 있습니다. 이 코드는 저에게 중요하며 준비된 문장을 사용하여 데이터베이스에 입력합니다. 백 엔드에

나는 PHP 스크립트이 같은 새로운 코드가 있는지 확인하기 위해 데이터베이스를 쿼리 분마다 실행 cronjob에 있습니다

$con = mysqli_connect($servername, $username, $password, $database); 
if (mysqli_connect_errno()){ 
echo "Failed to connect to MySQL: " . mysqli_connect_error(); 
} 
$results = mysqli_query($con, "SELECT user FROM stack ORDER BY ID"); 
$cronresults = mysqli_query($con, "SELECT run FROM kook ORDER BY ID"); 
$row = mysqli_fetch_assoc($results); 
$cron = mysqli_fetch_assoc($cronresults); 
$row2 = $row['user']; 
$cron2 = $cron['kook']; 

내 질문은 그게 내가 준비된 문을 필요가있다 단순히 정보를 가져 와서 일종의 SQL 인젝션을 막는 방법? 내가 어떻게하면 나는 그것에 대해 갈 것인가?

Answer 1

쿼리에 데이터를 전달하지 않으므로 여기에 준비된 문구가 필요하지 않습니다. 준비된 문은 쿼리를 쿼리 자체 (자리 표시 자 포함) 및 처리 할 데이터로 나눕니다. 이렇게하면 데이터 란 무엇이며 쿼리 란 무엇인지 혼란스럽지 않습니다.

표의 모든 행을 선택하면 데이터가 필요하지 않습니다.

Answer 2

준비된 문은 값을 쿼리에 연결해야하는 경우에만 유용합니다. 일반적으로 검색 할 값을 포함하는 WHERE 절이있을 때입니다. 귀하의 경우 두 쿼리 모두 움직이는 부분이 없으므로 준비된 문이 당신을 대신 할 수있는 것은 아닙니다.

• 효율성을 위해 하나에 두 개의 쿼리를 결합 :
• 을 항상 쿼리 당신이 가져 성공적으로 전에 실행 된 것을 확인
  보조 노트에

  , 당신은 당신의 스크립트를 개선하기 위해 몇 가지 작업을 수행 할 수 있습니다 당신이 직접 DB에 이미 데이터를 사용하는 경우에만 두 번째 수준의 주입이 발생하는 첫 번째 결과