在AJAX中使用PHP对象值

Question

我正在做一个宠物项目。 我有一个php类。 在HTML中，我创建了该对象的实例。 因此，同一页面可以包含许多实例。 现在，我必须拨打ajax电话。 ajax调用基于对象的实例。 在ajax调用中发送的数据可以包含数据库表等的名称。 我想知道那有多安全。 有什么想法吗？

Answer 1

攻击者想知道：

1. 如何溜进去，
2. 穿什么

您免费赠送2号。

Answer 2

最好调用一个函数，该函数知道要查询的数据库的字段并将传递的值作为参数。

Answer 3

好吧，考虑这种情况：

a）您有一个Javascript函数，该函数执行AJAX调用以在您的服务器上执行查询，类似于：

function doQuery(tablename, fieldname, whereclause) { ... }

b）在服务器上，使用该AJAX调用的传递参数动态构建查询：

$query = "SELECT $fieldname FROM $tablename WHERE $whereclause";

如何阻止恶意用户通过以下方式注入对您的AJAX函数的调用

fieldname = '*'
tablename = 'mysql.user'
whereclause = '1=1'

你最终得到

SELECT * from mysql.user WHERE 1=1

并且您的整个MySQL用户名/密码集合很高兴地售罄。

绝对不允许用户提供的数据控制代码的功能，尤其是在与“外部”系统（例如数据库）接口时。