MySQL-Sicherheitstests
Nov 19, 2016 pm 04:08 PM
mysql
一、没有进行预处理的SQL语句
<?php // 1.连接数据库 $conn = mysql_connect('127.0.0.1:3306', 'root', '518666'); if (!$conn) { die("Could not connect:" . mysql_error()); } // 2.选择数据库 mysql_select_db('mysql_safe', $conn); // 3.设置编码,注意这里是utf8而不是utf-8,如果写后者,MySQL不会识别的,会出现乱码的。 mysql_query("SET NAMES utf8"); $title = "我们的爱情"; $content = '你是/谁啊,大几\都"老梁"做做&>women<a>没'; $add_time = date("Y-m-d H:i:s"); // 转义字符 $content = mysql_real_escape_string($content); $content = htmlspecialchars($content, ENT_COMPAT); // 你是/谁啊,大几都做做&amp;&gt;women&lt;a&gt;没 // 自动过滤反斜杠 /* // 4.插入一条数据 $insert_sql = "insert into post_tbl (title, content, user_id, add_time) values ('{$title}', '{$content}', '4742551', '{$add_time}')"; if(mysql_query($insert_sql)) { echo 'ok'; } else { echo "Error : " . mysql_error(); } $ret = mysql_affected_rows(); print_r($ret); */ // 5.PDO预处理插入 // PDO(PHP Data Object)则是提供了一个 Abstraction Layer 来操作数据库 // 查询 $user_id = 174742; $password = "''or '1=1'" ; $sql = "select * from post_tbl where user_id = {$user_id} and password = {$password}"; print_r($sql); $query = mysql_query($sql); // $result = mysql_fetch_array($query); $rows = array(); while($row=mysql_fetch_array($query)) { $rows[] = $row; } print_r( $rows); // 关闭数据库连接 mysql_close($conn); /* $str = "Bill & 'Steve'"; echo htmlspecialchars($str, ENT_COMPAT); // 只转换双引号 echo "<br>"; echo htmlspecialchars($str, ENT_QUOTES); // 转换双引号和单引号 echo "<br>"; echo htmlspecialchars($str, ENT_NOQUOTES); // 不转换任何引号 */ /* 以上代码的 HTML 输出如下(查看源代码): <!DOCTYPE html> <html> <body> Bill &amp; 'Steve'<br> Bill &amp; &#039;Steve&#039;<br> Bill &amp; 'Steve' </body> </html> 以上代码的浏览器输出: Bill & 'Steve' Bill & 'Steve' Bill & 'Steve' */ function mforum_html_tag_to_html_entity($content) { $content = (string)trim($content); if(empty($content)) return ''; // $content = str_replace('&nbsp;', ' ', $content); $content = htmlspecialchars($content, ENT_COMPAT, GB2312, false); $content = str_replace("&gt;", "&#62;", $content); $content = str_replace("&lt;", "&#60;", $content); $content = str_replace("\"", "&quot;", $content); $content = preg_replace("/\\\$/", "&#036;", $content); $content = preg_replace("/\r/", "", $content); $content = str_replace("!", "&#33;", $content); $content = str_replace("'", "&#39;", $content); $content = preg_replace("/\\\/", "&#092;", $content); // 内容敏感词过滤 return $content; }
Nach dem Login kopieren
二、PDO处理的SQL语句
<?php // PDO的使用 // http://blog.csdn.net/qq635785620/article/details/11284591 $dbh = new PDO('mysql:host=127.0.0.1:3306;dbname=mysql_safe', 'root', '518666'); $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); $dbh->exec('set names utf8'); $title = "我们的爱情"; $content = '你是/谁啊,大几\都"老梁"做做&>women<a>没' . " 测试打印号'我是单引号'哈哈"; $user_id = 174742; $add_time = date("Y-m-d H:i:s"); // $insert_sql = "insert into post_tbl (title, content, user_id, add_time) values (:x_title, :x_content, :x_user_id, :x_add_time)"; // $stmt = $dbh->prepare($insert_sql); // $stmt->execute(array('x_title'=>$title,':x_content'=> $content, ':x_user_id' => $user_id, ':x_add_time' => $add_time)); // 查询 $user_id = "17474#"; // $password = "''or '1=1'"; $password = 123456; $sql = 'select * from post_tbl where user_id = :x_user_id and password = :x_password'; $stmt = $dbh->prepare($sql); $stmt->execute(array(':x_user_id'=>$user_id, ':x_password' => $password)); $rows = array(); while($row = $stmt->fetch(PDO::FETCH_ASSOC)) { $rows[] = $row; } print_r($rows); // echo $dbh->lastinsertid();
Nach dem Login kopieren
Erklärung dieser Website
Der Inhalt dieses Artikels wird freiwillig von Internetnutzern beigesteuert und das Urheberrecht liegt beim ursprünglichen Autor. Diese Website übernimmt keine entsprechende rechtliche Verantwortung. Wenn Sie Inhalte finden, bei denen der Verdacht eines Plagiats oder einer Rechtsverletzung besteht, wenden Sie sich bitte an admin@php.cn

Heißer Artikel
Wie lange dauert es, um Split Fiction zu schlagen?
3 Wochen vor
By DDD
Repo: Wie man Teamkollegen wiederbelebt
3 Wochen vor
By 尊渡假赌尊渡假赌尊渡假赌
Hello Kitty Island Abenteuer: Wie man riesige Samen bekommt
3 Wochen vor
By 尊渡假赌尊渡假赌尊渡假赌
R.E.P.O. Energiekristalle erklärten und was sie tun (gelber Kristall)
1 Wochen vor
By 尊渡假赌尊渡假赌尊渡假赌

Hot-Tools-Tags

Heißer Artikel
Wie lange dauert es, um Split Fiction zu schlagen?
3 Wochen vor
By DDD
Repo: Wie man Teamkollegen wiederbelebt
3 Wochen vor
By 尊渡假赌尊渡假赌尊渡假赌
Hello Kitty Island Abenteuer: Wie man riesige Samen bekommt
3 Wochen vor
By 尊渡假赌尊渡假赌尊渡假赌
R.E.P.O. Energiekristalle erklärten und was sie tun (gelber Kristall)
1 Wochen vor
By 尊渡假赌尊渡假赌尊渡假赌

Heiße Artikel -Tags

Notepad++7.3.1
Einfach zu bedienender und kostenloser Code-Editor

SublimeText3 chinesische Version
Chinesische Version, sehr einfach zu bedienen

Senden Sie Studio 13.0.1
Leistungsstarke integrierte PHP-Entwicklungsumgebung

Dreamweaver CS6
Visuelle Webentwicklungstools

SublimeText3 Mac-Version
Codebearbeitungssoftware auf Gottesniveau (SublimeText3)

Heiße Themen

PHPs Fähigkeiten zur Verarbeitung von Big-Data-Strukturen

Wie optimiert man die MySQL-Abfrageleistung in PHP?

Wie verwende ich MySQL-Backup und -Wiederherstellung in PHP?

Welche Anwendungsszenarien gibt es für Java-Aufzählungstypen in Datenbanken?

Wie füge ich mit PHP Daten in eine MySQL-Tabelle ein?

So beheben Sie den Fehler „mysql_native_password nicht geladen' unter MySQL 8.4

Wie verwende ich gespeicherte MySQL-Prozeduren in PHP?

Strategien zur Leistungsoptimierung für PHP-Array-Paging
