扫二维码与项目经理沟通
我们在微信上24小时期待你的声音
解答本文疑问/技术咨询/运营咨询/技术建议/互联网交流
是否有漏洞与代码有关，与此无关
成都创新互联是专业的蛟河网站建设公司，蛟河接单;提供网站设计制作、成都网站制作,网页设计,网站设计,建网站,PHP网站建设等专业做网站服务;采用PHP框架,可快速的进行蛟河网站开发网页制作和功能扩展;专业做搜索引擎喜爱的网站,专业的做网站团队,希望更多企业前来合作!
其中主流的连接MySQL的方式是用mysql或者mysql2包，它们只是提供了调用驱动的api。很多框架中包括egg，nest都是基于此封装的。
但这不是SQL注入的关键，它只是一种连接方式。它只管连接，不管其他的，存不存在SQL注入完全靠写代码的人本身啊。
一句脚本本没有问题(知道不让直接放sql的，也是放注入)，但是你如果让SQL变成由用户输入拼接而成，那就存在SQL注入的风险。
你应该去了解SQL注入的原理，然后进行防患，百度就能找到，然后可以用ORM，一般都对输入做了处理，还能避免直接写SQL(但其实难的地方还得自己写)。
有不理解可以追问。
只要有交叉，通常而言都会有注入漏洞的。只是对于漏洞，你大可放心，应为一般而言注入提权都是针对常用的热门数据库和已知漏洞进行的，对于新兴的没有大规模使用的数据库来说，没有太多人花很多时间去研究，只要没大规模传播扩散漏洞信息，即使是有，也比较安全的。总不可能有人就专盯你的数据库入侵提权吧
是CSRF(Cross-site request forgery) 不是你写的那个!
跨域不用担心.主流浏览器都会帮你做防御的. 问题不大,主要是你自己别给其他域的权限即可.非必要的话,以最小权限原则.
xss主要就是过滤输入输出.如果业务很多,还是找人审计代码吧.或者用比较成熟的模块.CSRF的话,1,验证来源 2加随机token之类的.
sqli主要还是过滤输入的地方.过滤/转义关键字比如select,and,or等等(有专门的防注入模块).觉得怕麻烦的话.用那些云主机的防御功能.再加个cdn基本就没事了.(对于一般的反射型跨站也适用)
我们在微信上24小时期待你的声音
解答本文疑问/技术咨询/运营咨询/技术建议/互联网交流
微信二维码
移动版官网