网站上发现SQL注入漏洞

Question

我们似乎在我们的一个网站上发现了一个SQL注入漏洞。它们正在运行的SQL查询如下：

select * from jobs where jobs.status='on' and industry_id=''

如果用户将行业值(在URL中)更改为以下值，则会在搜索结果中输出数据库名称。

-1‘UNION SELECT concat(user(),0x3a3a，database())，2，3，4，5，6，7，8，9，10，11，12，13，14

构建SQL查询这一部分的PHP代码是：

$extra_sql = "and industry_id='".mysql_real_escape_string($_GET['industry'])."'";

我认为如果使用mysql_real_escape_string()转义了一个值，那么这是不可能的，因此我有几个问题：

1. 我们如何解决这个安全问题？
2. 除了遍历每个SQL查询之外，还有一个快速的方法来修复这个问题吗？

提前谢谢。

Answer 1

把它变成这个

$industryID = (int) trim($_GET['industry']);

$extra_sql = "and industry_id='".$industryID."'";