Mã này là một thảm họa:
$affected_rows = $db->exec("UPDATE requests SET") .
^^---terminating your query here
"lanId = '" . $lanId . "', ".
Vì vậy, bạn chạy một truy vấn không đúng định dạng (UPDATE requests SET ), sẽ ném ra một ngoại lệ của trả về boolean FALSE. Sau đó, bạn nối toàn bộ một loạt văn bản (sẽ là một phần trong truy vấn của bạn) vào FALSE đó.
Và ngay cả khi mã này được cấu trúc đúng, bạn vẫn MỞ RỘNG để các cuộc tấn công chèn sql .
