额....我的 PHP 好像不喜欢我的名字

2020 年 2 月 1 日
 peterpei

最近在家里无聊，想用 PHP7 搭一个自己的小博客框架，写了一个简易的后台管理页面，主要控制博客名称和发帖时所需的用户名密码，出现了这种奇怪的问题：当替换值是 Peter's_Blog 时，并没有替换，但如果是其他值，则正常替换，百思不得其解，我录了个 GIF 供大家参考

有没有大佬知道原因的，求指点😭😭😭

这是部分代码

6883 次点击
所在节点    PHP
17 条回复
yafoo
2020 年 2 月 1 日
图片没显示，直接贴代码吧
Dreax
2020 年 2 月 1 日
不要拼接 sql
loginv2
2020 年 2 月 1 日
去掉单引号试试
zjsxwc
2020 年 2 月 1 日
你直接拼 sql，然后你的名字包含了一个单引号，然后你不凉谁凉
webshe11
2020 年 2 月 1 日
SQL 注入漏洞了解一下？
edk24
2020 年 2 月 1 日
mysql:
Peter\'s_Blog

sqlite:
Peter''s_Blog

好像是这样的
charlie21
2020 年 2 月 1 日
@Dreax 那用什么，orm ？
laravel
2020 年 2 月 1 日
我查看源代码，发现了图片
yc8332
2020 年 2 月 1 日
很明显 sql 没有进行参数过滤。估计是直接拼接的吧。。用 pdo 进行参数绑定
wwcxjun
2020 年 2 月 1 日
需要转义字符串 可以用 mysqli_real_escape_string
zsxeee
2020 年 2 月 2 日
mysqli_real_escape_string()
ericgui
2020 年 2 月 2 日
上面的答案是对的
soli
2020 年 2 月 2 日
我靠，你的名字。。。
难道是姓裴？
KINGOD
2020 年 2 月 2 日
我注入我自己😂
wenyuyu
2020 年 2 月 19 日
查看源代码才看到图片哈哈哈，
peterpei
2020 年 2 月 25 日
感谢大家回复。。
🐶
peterpei
2020 年 2 月 25 日
@soli 对啊，咋啦🐶

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://v2ex.xtra.eu.org/t/641497

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX