Php 散列输出对SQL查询是否有危险？
在对密码进行散列和存储之前，在密码上使用stripslashes和mysql_real_escape_字符串有一个问题。在散列之前的剥离或转义是不必要的，因为特殊字符对散列函数没有意义 但是，某些散列结果是否可能创建危险的SQL查询Php 散列输出对SQL查询是否有危险？,php,mysql,sql,security,hash,Php,Mysql,Sql,Security,Hash,在对密码进行散列和存储之前，在密码上使用stripslashes和mysql_real_escape_字符串有一个问题。在散列之前的剥离或转义是不必要的，因为特殊字符对散列函数没有意义 但是，某些散列结果是否可能创建危险的SQL查询 我意识到，如果有足够的散列和salt，那么故意发生这种情况的可能性很小，但是运行一个strip并根据散列结果逃逸是否仍然是一种好的做法？这样做会过于热情，而且没有必要。哈希函数不会输出任何可能引入SQL注入漏洞的引号。此外，您不应该同时使用stripslashes（
我意识到，如果有足够的散列和salt，那么故意发生这种情况的可能性很小，但是运行一个strip并根据散列结果逃逸是否仍然是一种好的做法？这样做会过于热情，而且没有必要。哈希函数不会输出任何可能引入SQL注入漏洞的引号。此外，您不应该同时使用
stripslashes（）mysql\u real\u escape\u string（）十六进制数不应该对SQL注入造成问题，因为它们只是由
/[0-9a-f]/stripslashes（）mysql\u real\u escape\u string（）十六进制数不应该对SQL注入造成问题，因为它们只是由
/[0-9a-f]/但是，将所有输入到查询中的内容转义始终是一种好的做法，或者更好的做法是使用参数化查询。哈希函数的结果是一个数字。据我所知，大多数（如果不是所有的话）php哈希函数都返回十六进制数。哈希函数不会产生不安全的字符串结果
但是，最好不要将所有输入到查询中的内容都转义，或者更好的做法是使用参数化查询。除非您要维护某种需要在旧版本PHP上运行的遗留应用程序，否则您应该使用mysqli或PDO（带有其绑定语法）。然后这个问题就变得无关紧要了。@N回答说，我们使用什么并不总是由我们决定的。@Chris实际上有计划反对并最终停止旧的mysql扩展以支持mysqli，所以如果您正在制作新软件，您最好使用首选方法，并确保您的环境提供这种方法。@Chris确实如此。只要您意识到从技术角度来看，遗留mysql_*函数不是您应该使用的。希望决策者能尽快恢复理智。@Pelshoff目前正在进行更新旧代码库与开发新功能的斗争。除非您要维护某种需要在旧版本PHP上运行的遗留应用程序，否则您应该使用mysqli或PDO（具有约束性语法）。然后这个问题就变得无关紧要了。@N回答说，我们使用什么并不总是取决于我们。@Chris实际上有计划反对并最终停止旧的mysql扩展以支持mysqli，所以如果您正在制作新软件，您也可以使用首选方法，并确保您的环境提供这种方法。@Chris这是非常正确的。只要你意识到从技术角度来看，遗留的mysql_*函数不是你应该使用的。希望决策者能尽快恢复理智。@Pelshoff目前正在进行更新旧代码库与开发新功能的斗争。这并不完全正确。如果magic quotes是启用后，在GET/POST参数上使用
stripslashesstripslashes