php – MYSQL二阶攻击问题

"username '; DELETE Orders;--"

这会将插入到mysql表中

因此,当我通过预准备语句再次接收数据时,在准备好的语句中再次插入/执行某些操作.

因为我使用准备好的陈述,我会安全吗？

样品：

Get Bad Data:

$sql = "SELECT * FROM USERS where USERID = 1";
...
$stmt->bind_result($username);
...

Next Query:
INSERT or do other things:
$SQL = "SELECT * FROM email WHERE USERNAME = ?";
....
$stmt->bind_param('s',$username);
...

我以为我会安全,如果我这样做的话？或者是否存在泄漏？

但如果我这样做,我会受到攻击：

$sql = "SELECT * FROM email WHERE username = $username";
$stmt = $mysqli->prepare($sql);
$stmt->execute();

谢谢 ：-)