Reicht „mysqli_real_escape_string' aus, um SQL-Injection-Angriffe zu verhindern?

Ist „mysqli_real_escape_string“ zur Verhinderung von SQL-Angriffen geeignet?

Der bereitgestellte Code nutzt mysqli_real_escape_string zum Schutz vor SQL-Injections. Es ist jedoch wichtig zu beachten, dass diese Funktion allein für einen vollständigen Schutz nicht ausreicht.

Anfälligkeit für SQL-Injection

Trotz der Verwendung von mysqli_real_escape_string bleibt der Code anfällig für SQL-Injection-Angriffe . Dies liegt daran, dass zum Zusammenstellen der SQL-Abfrage eine Zeichenfolgenverkettung verwendet wird, die es Angreifern ermöglicht, die Abfrage zu manipulieren, indem sie bösartigen Code über die Formulareingaben einschleusen.

Empfohlene Lösung: Vorbereitete Anweisungen

Die effektivste Methode zur Verhinderung von SQL-Injections sind vorbereitete Anweisungen. Sie trennen Datenparameter von Abfrageanweisungen und eliminieren so die Möglichkeit einer Kontamination. Hier ein Beispiel:

$stmt = $db_con->prepare("INSERT INTO `users` (`email`, `psw`) VALUES (?, ?)");
$stmt->bind_param("ss", $email, $psw);
$stmt->execute();

Zusätzliche Sicherheitsmaßnahmen

In Fällen, in denen vorbereitete Erklärungen nicht durchführbar sind, berücksichtigen Sie Folgendes:

• Whitelist-Validierung: Beschränken Sie Benutzereingaben auf einen vordefinierten Satz zulässiger Werte Werte.
• Typumwandlung: Stellen Sie sicher, dass Werte ordnungsgemäß in ihre beabsichtigten Typen konvertiert werden, um die Ausführung von Schadcode zu verhindern.
• Emulierte vorbereitete Anweisungen deaktivieren: Wenn Sie MySQL verwenden, setzen Sie $db_con->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); um die Sicherheit zu erhöhen.

Durch die Implementierung dieser Maßnahmen können Sie die Sicherheit Ihrer Anwendung gegen SQL-Injections und andere SQL-Angriffe deutlich erhöhen.

Das obige ist der detaillierte Inhalt vonReicht „mysqli_real_escape_string' aus, um SQL-Injection-Angriffe zu verhindern?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!