PHP 中的安全 SQL 更新

Question

作为工作的一部分，我想使用表单更新数据库。由于数据库很大并且被很多用户使用，我希望这种操作至少是安全的，以便更安全。

HTML 脚本：

<form action="http://localhost/modifier_infos_signaletique.php" method=POST >

    <div class="id_sign">

    <h5>Id "Signalétique" :</h5>

    <input type="text" name="id_sign" id="id_sign"/><br>

    </div>

    <h5>Infos "Signalétique" : </h5>

    <input class="comment" type="text" id="maj_infos" name="maj_infos" required maxlength='140'/><br>

    <input type="submit" value="Submit" />

</form>

脚本：

<?php

    $user = 'xxxx'; 

    $pass = 'xxxx';

    try{

        $dbconn = new PDO('pgsql:host=localhost;port=5432;dbname=xxxx',$user, $pass);

        $dbconn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

        $maj = $_POST['maj_infos'];

        $id = $_POST['id_sign'];

        $query = $dbconn->prepare("UPDATE signaletique SET infos = ':infos' WHERE id = ':id'");

        $query->bindParam(':infos', $maj, PDO::PARAM_STR);

        $query->bindParam(':id', $id, PDO::PARAM_INT);

        $query->execute();

        echo 'Données mises à jour';

    }

    catch(PDOException $e){

        echo "Erreur : " . $e->getMessage();

    }

?>

但是，当我使用此脚本时，会出现此错误：

**错误：SQLSTATE[HY093]：无效参数号：：infos **

该错误是由于用于 bindParam 函数的参数引起的。但是，我在我的 PostgreSQL 数据库的属性中有“字符变化”中的信息。我试图将此参数更改为“文本”，但错误仍然存在。

请原谅我提出这个问题，但我是 PHP 的新手，而且我的 SQL 技能很薄弱，因为我经常使用 pgAdmin 及其工具来构建我的数据库并与之交互。

这是我的数据库的屏幕截图：

信息参数在屏幕截图的“文本”中，但基本此属性在“字符变化”(140) 中。

感谢您的帮助。

Answer 1

在您的查询字符串中，您将单引号放在占位符周围。这使它们成为字符串，而不是占位符。使用占位符时不需要引号。这应该工作：$query = $dbconn->prepare("UPDATE signaletique SET infos = :infos WHERE id = :id");