将列名公开为json对象属性是否存在安全风险？

Question

将json编码的mysql数据集使用fech assoc传递给javascript可以暴露表列名称，如果我不给每个列名加上别名的话。因此，问题是，将列名公开为json对象属性是否存在安全风险？

我一直在使用PDO预准备语句。

Answer 1

暴露列标识符本身不应该有很高的安全风险。安全问题是，如果你允许SQL注入攻击，即使在你的应用程序中只有一种情况，有人可能会利用关于列名的知识来加速发现如何编写非法查询。

但是他们无论如何都可以找到列，因为如果他们可以通过SQL注入运行任意的SQL，他们就可以查询您的INFORMATION_SCHEMA并找到他们需要的任何东西。

如果您确信您的查询执行是安全的，那么您应该没问题。

Answer 2

我会说这是一个安全问题，而不是一个安全风险。就其本身而言，它并没有什么坏处。但如果存在真正的安全风险，例如注入攻击，则if可以帮助攻击者。