本文目录
- 怎么检测是否存在post类型的sql注入
- 在postresql中怎样注释一条语句
- 关于postgrsql读取数据库的问题！
- postsql表连接查询用的到索引吗
- 怎么把postgresql的数据导出成sql，我有pgAdmin3
怎么检测是否存在post类型的sql注入
许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些想得知的数据，这就是所谓的SQL Injection，即SQL注入。如何判断网站是否存在POST注入呢！请看以下步骤操作做。POST注入操作介绍:1.POST注入一般发生在表单数据传输时、抓取POST提交的数据进行SQL语句测试POST注入操作流程:比如抓取的POST数据为:userName=admin&password=admin测试诸如语句填写:userName=admin&password=’admin 1=1--像这样userName 参数后面加一些SQL语句(注入测试语句)进行POST数据注入测试即可。
在postresql中怎样注释一条语句
PL/pgSQL中有两种方法来表示注释。如果注释只有一行，则用两个横杠（-）打头，横杠后面直到这一行结束的字符都是注释。另一种注释类似于c语言的风格，注释以/*开始，以*/结束，注释的内容可以跨越多行，这种类型的注释可以包含以两个横杠打头的注释，但不能包含另一个以/*开始的注释。另外，以两个横杠（-）打头的注释如果包含/*和*/，/*和*/将失去它们的特殊函数，/*和*/以及它们之间的字符将被作为注释的内容看待
关于postgrsql读取数据库的问题！
PostgreSQL中的bytea字段类型可以以二进制的形式存储数据，这样做的好处就是可以将原本存储在网站目录下的文件存储到数据库中，坏处就是如果文件过多、过大的话，就会导致数据库的数据量大大增加，备份和恢复的时候就会浪费大量的时间，而且数据也有可能会出错。个人觉得，在文件量小的情况下，使用这种存储方式还是很方便的。 言归正传，下面介绍一下使用bytea字段存读取文件的具体实现方法。首先是文件存储于存储于bytea字段的方法，主要用到的就是PHP中的pg_escape_bytea方法，代码如下：《?php$dbconn = pg_connect("host=’localhost’ dbname=’dbname’ user=’user’ password=’password’ port=’port’") OR DIE(’Could not connect:’ . pg_last_error());$fileUrl = iconv("utf-8", "gbk", $fileUrl);//$fileName为文件路径地址，汉字可能会乱码，此处处理一下$fileContents = file_get_contents($fileUrl);$escapeBytea = pg_escape_bytea($fileContents);//转义bytea数据类型的二进制字符串$insertStr = "INSERT INTO tableName(id, contents) VALUES(DEFAULT, ’{$escapeBytea}’)";pg_query($dbconn, $insertStr);?》 从bytea字段中还原文件用到的是PHP中的pg_unescape_bytea方法，实现代码如下：《?php $dbconn = pg_connect("host=’localhost’ dbname=’dbname’ user=’user’ password=’password’ port=’port’") OR DIE(’Could not connect: ’ . pg_last_error()); $selectStr = "SELECT contents FROM tableName WHERE id = " . $fileId;//$fileId为文件id $query = pg_query($dbconn, $selectStr); while($row = pg_fetch_array($query, null, PGSQL_ASSOC)){ $escapeBytea = $row; $fileContents = pg_unescape_bytea($escapeBytea); //获得二进制数据 file_put_contents($fileName, $fileContents); //$fileName为带有后缀名的文件名，如hello.pdf}?》 导出文件后，如果二进制数据转码错误就会出现文件打不开的现象，比如错误的PDF文件打开时弹出错误如下图： 这种错误在数据库迁移时特别容易出现（本人是从PostgreSQL 8.4迁移到9.1），解决的方法是修改PostgreSQL的配置文件postgresql.conf，将bytea_output的输出类型设置为转义类型（escape）输出，即bytea_output = ’escape’（如果前面有#，删除开启配置），然后reload一下PostgreSQL的配置使修改生效，这样二进制数据就可以正常解码并输出到文件。
postsql表连接查询用的到索引吗
用得到。索引可以用于连接搜索，因此在作为连接条件一部分的列上定义的索引也可以显著加快使用连接的查询。在大型表上创建索引可能需要很长时间。
怎么把postgresql的数据导出成sql，我有pgAdmin3
.2.1 pgAdmin3的启动您可以在应用程序---系统工具中找到pgAdmin3的启动项;也可以在命令行下输入：xiaop@xiaop-laptop:~$ /usr/bin/pgadmin3 start6.2.2 连接已创建的数据库mydb ;点击档案-----新增服务器，然后在跳出的窗口下输入：地址：localhost描述：服务器名称（随意填写）维护数据库：postgres用户名：自己创建一个（详情参见创建用户）密码：和用户名对应（创建用户时自己创建）点击确定后大家便可以查看postsql已有的数据库了;注：pgAdmin3的数据库和终端下创建的数据库是完全同步的（可以用刷新查看效果）， pgAdmin3是比较方便的图形化管理工具，它可以创建图表，管理数据库等，有关pgAdmin3的详细介绍我们在以后讨论，本文主要介绍命令行下的操作。图形化管理工具能做到的命令行都可以做到，您可以在命令行下创建表，在pgAdmin3上查看是否同步：7. 创建和删除表;7.1 创建新表;创建完数据库之后，您就可以创建新表了，可以通过声明表的名字和所有字段的名字及其类型来创建表，例如：mydb#CREATE TABLE weather ( city varchar(80), temp_lo int, -- 最低气温 temp_hi int, -- 最高气温 prcp real, -- 降水量 date date );注：您可以在 psql 里连换行符一起键入这些东西。 psql 可以识别该命令直到分号才结束,不要忘记“;”您可以在 SQL 命令中自由使用空白（也就是空格，tab，和换行符）。 这就意味着您可以用和上面不同的对齐方式键入命令。 两个划线("--") 引入注释。 任何跟在它后面的东西直到该行的结尾都被忽略。 SQL 是对关键字和标识符大小写不敏感的语言，只有在标识符用双引号包围时才能保留它们的大小写属性。7.2 数据类型;上面例子中的varchar(80) 声明一个可以存储最长 80 个字符的任意字符串的数据类型。 int 是普通的整数类型。 real 是一种用于存储单精度浮点数的类型。 date 类型应该可以自解释。PostgresSQL 支持标准的 SQL 类型 int，smallint， real，double precision， char(N)， varchar(N)，date， time，timestamp 和 interval，还支持其他的通用类型和丰富的几何类型。 PostgreSQL 可以客户化为定制任意的用户定义的数据类型，您可以参考PostgreSQL的中文文档来查询;7.3 删除表;如果您不再需要某个表，或者您想创建一个不同的表，那么您可以用下面的命令删除它：mydb#DROP TABLE tablename8. 向表中添加行;8.1 INSERT;INSERT 用于向表中添加行,您可以输入（在数据库中操作）：mydb#INSERT INTO weather VALUES (’San Francisco’, 46, 50, 0.25, ’1994-11-27’);注：所有数据类型都使用了相当明了的输入格式。 那些不是简单数字值的常量必需用单引号(’)包围， 就象在例子里一样。8.2 point类型输入;point 类型要求一个座标对作为输入，如下：mydb#INSERT INTO cities VALUES (’San Francisco’, ’(-194.0, 53.0)’);8.3 COPY;您还可以使用 COPY 从文本文件中装载大量数据。 这么干通常更快，因为 COPY 命令就是为这类应用优化的， 只是比 INSERT 少一些灵活性．比如：mydb#COPY weather FROM ’/home/user/weather.txt’;注：weather.txt是您提前写好的符合格式标准的表格内容文档;9. 查询一个表;9.1 SELECT;要从一个表中检索数据就是查询这个表。 SQL 的 SELECT 就是做这个用途的。 该语句分为选择列表（列出要返回的字段部分），表列表（列出从中检索数据的表的部分）， 以及可选的条件（声明任意限制的部分）。比如，要检索表 weather 的所有行，键入：SELECT * FROM weather;《code》输出结果：《code》 city | temp_lo | temp_hi | prcp | date---------------+---------+---------+------+------------San Francisco | 46 | 50 | 0.25 | 1994-11-27San Francisco | 43 | 57 | 0 | 1994-11-29Hayward | 37 | 54 | | 1994-11-29(3 rows)您可以在选择列表中写任意表达式，而不仅仅是字段列表。比如，您可以：SELECT city, (temp_hi+temp_lo)/2 AS temp_avg, date FROM weather;这样应该得出： city | temp_avg | date---------------+----------+------------San Francisco | 48 | 1994-11-27San Francisco | 50 | 1994-11-29Hayward | 45 | 1994-11-29(3 rows)请注意这里的 AS 子句是如何给输出字段重新命名的。（AS 子句是可选的。）9.2 WHERE;一个查询可以使用 WHERE 子句"修饰"，声明需要哪些行。 WHERE 子句包含一个布尔（真值）表达式，只有那些布尔表达式为真的行才会被返回。 允许您在条件中使用常用的布尔操作符（AND，OR， 和 NOT）。 比如，下面的查询检索旧金山的下雨天的天气：mydb#SELECT * FROM weather WHERE city = ’San Francisco’ AND prcp 》 0.0;结果： city | temp_lo | temp_hi | prcp | date---------------+---------+---------+------+------------San Francisco | 46 | 50 | 0.25 | 1994-11-27(1 row)9.3 排序;您可以要求返回的查询是排好序的：mydb#SELECT * FROM weather ORDER BY city;得出结果： city | temp_lo | temp_hi | prcp | date---------------+---------+---------+------+------------Hayward | 37 | 54 | | 1994-11-29San Francisco | 43 | 57 | 0 | 1994-11-29San Francisco | 46 | 50 | 0.25 | 1994-11-27在这个例子里，排序的顺序并非绝对清晰的，因此您可能看到 San Francisco 行随机的排序。 但是如果您使用下面的语句，那么就总是会得到上面的结果SELECT * FROM weather ORDER BY city, temp_lo;您可以要求查询的结果按照某种顺序排序， 并且消除重复的行输出：mydb#SELECT DISTINCT city FROM weather;得出结果： city---------------HaywardSan Francisco(2 rows)
