xecute([$mydomain]); // --- 查询3: 获取新闻内容 (高风险注入点已修复) --- // 原来的代码直接拼了 $nid，这是极其危险的。 // 现在我们将 $mydomain 和 $nid 都做参数绑定，黑客即使传 '1 or 1=1' 也没用 $newsStmt = $pdo->prepare("SELECT `title`, `content` FROM `domain_news` WHERE `domain` = ? AND `nid` = ? ORDER BY `nid` DESC LIMIT 0, 1"); $newsStmt->execute([$mydomain, $nid]); $newsRow = $newsStmt->fetch(); if ($newsRow) { $newstitle = $newsRow['title']; // 注意：如果 news 表的 content 本身存的是 HTML，则直接覆盖上面域名的 content $content = $newsRow['content']; } } catch (PDOException $e) { // 数据库出错时的处理，避免泄露密码等敏感信息 // 可以在这里记录日志: error_log($e->getMessage()); die("系统繁忙，请稍后再试。"); } // ========================================== // 5. 页面渲染部分 // ========================================== // 构建 Page Title // 使用 htmlspecialchars 防止 XSS 注入到