PHP：base64_encode是否可以防止mysql注入？

PHP: Does base64_encode protect from mysql injections?

我正在尝试设置一个PHP页面，它可以安全地接受文件上传(履历)，将其存储为mysql blob，并稍后提供下载。但当我稍后下载PDF以供查看时，它们似乎总是损坏，无法正确打开。

由于jgoettsch提出的一个问题(php:reversing mysql_real_escape_string对二进制文件的影响)，我意识到通过mysql_real_escape_string(防止注入)输入文件数据可能会损坏文件内容，于是我想到通过base64_encode()传递二进制文件，并在下载之前使用base64_decode()。

下面是一些演示我当前正在做什么(不起作用)的模拟代码：

上传：

1
2
3
4
5
6
7
8
9
10
11
12
13
14

<?
// Get file contents
$cv_pointer = fopen($_FILES['cv']['tmp_name'], 'r');
$cv_content = fread($cv_pointer, filesize($_FILES['cv']['tmp_name']));
fclose($cv_pointer);

// Insert SQL
$sql = sprintf("INSERT INTO documents (name, file, size, date_uploaded)
VALUES ('%s', '%s', '%s', NOW())",
mysql_real_escape_string($_FILES['cv']['name']),
mysql_real_escape_string($cv_content),
mysql_real_escape_string($_FILES['cv']['size']));
$result = mysql_query($sql);
?>

下载内容：

1
2
3
4
5
6
7
8
9
10
11

<?
if (isset($_GET['view_cv'])) {
$cv = mysql_fetch_assoc($rsApplicationCv);

header("Content-length:".$cv['size']);
header("Content-type: application/pdf");
header("Content-disposition: attachment; filename=".$cv['name']);
echo $cv['file'];
exit();
}
?>

以下是我的问题：

如果您有文件上载字段，那么该字段是否容易受到SQL注入的攻击？还是我不必要地担心？显然，如果我可以将二进制文件传递到blob字段而不进行任何转换，那么这个文件上传任务就简单多了。

如果我通过base64_encode()输入上传的文件内容，这是否等同于卫生处理？或者我应该对它进行编码，然后再通过mysql_real_escape_string传递编码的字符串吗？

这一切似乎只是为了存储和获取一个PDF文件而付出了很大的努力。有没有一个更简单的解决办法来满足这个我还没有偶然发现的共同需求？

事先谢谢！