PHP WebサイトでのSQLインジェクションを防ぐにはどうすればよいですか?

Web サイトの運用セキュリティは、すべての Web マスターが考慮すべき問題であることは間違いありません。ご存知のとおり、ほとんどのハッカーは SQL インジェクションを使用して Web サイトを攻撃します。

最もオリジナルな静的 Web サイトが最も安全です。今日は、Web サイトへの SQL インジェクションを防ぐための PHP インジェクションのセキュリティ仕様について説明します。

現在、主流の Web サイト開発言語は依然として PHP であるため、PHP Web サイトでの SQL インジェクションを防ぐ方法から始めましょう:

Php インジェクションのセキュリティ防止 上記のプロセスを通じて、Php インジェクションの原理と技術を理解することができます。 もちろん、対応する防止方法も開発できます。 1 つ目はサーバーのセキュリティ設定です。ここでは主に php+mysql のセキュリティ設定と Linux ホストのセキュリティ設定を説明します。 php+mysql インジェクションを防ぐには、コードに示すように、最初に magic_quotes_gpc を On に設定し、display_errs を Off に設定します。id 型の場合は、intval() を使用して整数型に変換します。


$idintval($id);
mysql_query”*fromexamplewherearticieid’$id’”; または、次のように記述します: mysql_query(”SELECT*FROMarticleWHEREarticleid”.intval($id).””)
文字タイプの場合は、addslashes() を使用してフィルターし、次に「%」と「_」をフィルターします。
$searchaddslashes($search);
$searchstr_replace("_","_",$search);
$searchstr_replace(“%”,”%”,$search);
もちろん、PHP ユニバーサル アンチインジェクション コードを追加することもできます:
/*****************************
PHP ユニバーサル アンチインジェクション セキュリティ コード
説明:
渡された変数に不正な文字が含まれているかどうかを判断します
$_POST、$_GET など
機能:
注射反対

//フィルタリングされる不正な文字
$ArrFiltratearray("'",";","union");
//エラーが発生した場合にリダイレクトされる URL未入力 デフォルトの前ページ
$StrGoUrl"";
//配列に値があるかどうか
functionFunStringExist($StrFiltrate,$ArrFiltrate){
feach($ArrFiltrateas$key>$value){
if(eregi ($value,$StrFiltrate)){
returntrue;
}
}
returnfalse;
}
//$_POSTと$_GETをマージする
if(function_exists(array_merge)){
$ArrPostAndGetarray_ merge ($HTTP_POST_VARS,$HTTP_GET_VARS);
}else{
feach($HTTP_POST_VARSas$key>$value){
$ArrPostAndGet[]$value;
}
feach($HTTP_ GET_VARSas$ key>$value) {
$ArrPostAndGet[]$value;
}
}
//検証開始
feach($ArrPostAndGetas$key>$value){
if(FunStringExist($value,$) ArrFiltrate)){
echo "alert(/"Neeao プロンプト、不正な文字/");";
if(empty($StrGoUrl)){
echo "histy.go(-1);";
 }else{
 echo "window.location/"".$StrGoUrl."/";";
}
exit;
}
}
?>
/****** ***** ******************

このトピックは、2015-9-20 13:05 に Xiaobei によって固定が解除されました