Мой код уязвим для внедрения SQL? - PullRequest
Новая
       20

Мой код уязвим для внедрения SQL?

0 голосов
/ 28 мая 2018

Я создаю CMS, но я не знаю, как написать код для сохранения из SQL-инъекций. Дайте мне знать, если в моем коде есть уязвимость SQL-инъекций. 

    if(isset($_POST['cout'])){

        $servername = "localhost";
        $username = "root";
        $password = "";
        $db = "bangla";
        $con = new mysqli($servername, $username, $password, $db);
        mysqli_query($con, "SET CHARACTER SET utf8");
        mysqli_query($con, "SET SESSION collation collation='utf8_general_ci'");

        $id = NULL;

        $name = $_POST['name'];
        $name = strip_tags($name);
        $name = htmlentities($name);
        $name = mysqli_real_escape_string($con, $name);

        $distrct = $_POST['distrct'];
        $distrct = strip_tags($distrct);
        $distrct = htmlentities($distrct);
        $distrct = mysqli_real_escape_string($con, $distrct);

        $division = $_POST['division'];
        $distrct = strip_tags($division);
        $distrct = htmlentities($division);
        $distrct = mysqli_real_escape_string($con, $division);

        $stmt = $con->prepare("INSERT INTO couts (id, name, distrct, division) VALUES( ?,?,?,?)");
        $stmt->bind_param('ssss', $id, $name, $distrct, $division);
        if($stmt->execute()){
            echo "New record created successfully";
        }
    }

1 Ответ

0 голосов
/ 28 мая 2018

Вам не нужно strip_tags().

Вам не нужно htmlentities().

Вам не нужно mysqli_real_escape_string().

Просто используйте параметры запроса.

...