PHP：管理URL $ _GET修补

Question

在这种情况下，我有一个支持故障单列表，当您单击故障单标题时，会带您到一个页面，其中更详细地显示了故障单。 如果使用URL GET变量来查询数据库。 我已经考虑了SQL注入，但是如果有人将URL修改为不存在的ID怎么办？ 最好的解决方法是什么？

谢谢，

琼斯

Answer 1

如果该ID不存在，请发送404-Not Found标头以及一个不错的错误页面，告知用户未找到该ID。

Answer 2

无论如何，您可能必须使页面处理不成功的搜索。 只是将其路由到那里。 然后，您可以帮助用户找到一致搜索的内容，提供提示和“搜索最多的内容”，而不提供其他内容。

Answer 3

这似乎太简单了，但是在对它们执行任何操作之前，应始终验证其GET（或POST）变量。 对于您的情况，只需验证该ID是否存在于数据库中即可。 如果不是，请通知用户。

Answer 4

您应该始终检查查询是否返回任何内容。 如果返回0行，则ID不存在。

<?php

$result = mysql_db_query("your query", $link);
$num_rows = mysql_num_rows($result);

if($num_rows < 1) {
  // row with that id doesnt exist
  // do whatever you want
} elseif($num_rows > 1) {
  // you have problem with your ids in db
} else {
  // everything went fine
  // do your thing here
}

?>

Answer 5

检查票证是否存在； 如果不是，请做出相应反应。 “相应反应”的含义取决于您的业务逻辑：创建新票证？ 引发错误？ 将用户带到可用票证列表？

为了简洁起见，使用旧的mysql扩展的示例：

$sanitized_numeric_id = (int) $_GET['ticket_id']; // assuming id is numeric
$query_resource = mysql_query('SELECT `somecolumn`, `column2`, `othercolumn` 
                                  FROM `tickets`
                                  WHERE `id`= ' . $sanitized_numeric_id);
if (mysql_num_rows($query_resource) > 0) {
    // the ticket exists, do something with it
} else {
    // the ticket doesn't exist, react accordingly
}