준비된 문은 어떻게 PHP에서 SQL 주입을 방지할 수 있나요?

PHP의 SQL 주입 방지

적절한 예방 조치 없이 사용자 입력을 SQL 쿼리에 통합하면 SQL 주입에 대한 코드 취약성이 발생합니다. 다음과 같은 취약한 코드 조각을 고려하십시오.

$unsafe_variable = $_POST['user_input']; 

mysql_query("INSERT INTO `table` (`column`) VALUES ('$unsafe_variable')");

이 시나리오는 value'와 같은 사용자 입력 문자열을 통해 악용될 수 있습니다. DROP TABLE 테이블;-- 악성 쿼리로 이어짐:

INSERT INTO `table` (`column`) VALUES('value'); DROP TABLE table;--')

예방 전략

이러한 공격을 방지하려면 데이터가 데이터로 처리되도록 SQL에서 데이터를 분리하는 것이 필수적입니다. SQL 파서에서는 명령으로 해석되지 않습니다. 매개변수화된 쿼리가 포함된 준비된 문은 SQL 문과 매개변수 값을 분리하는 강력한 솔루션을 제공합니다. 데이터베이스 서버는 SQL 문을 구문 분석하고 컴파일하여 매개 변수를 문자열로 처리하여 악의적인 SQL 삽입 시도를 효과적으로 차단합니다.

Prepared 문 구현

PDO

$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');
$stmt->execute([ 'name' => $name ]);

foreach ($stmt as $row) {
    // Do something with $row
}

MySQLi for MySQL (PHP 8.2 )

$result = $db->execute_query('SELECT * FROM employees WHERE name = ?', [$name]);
while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

MySQLi for MySQL(최대 PHP 8.1)

$stmt = $db->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' specifies the variable type => 'string'
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

PDO 및 MySQLi에 대한 추가 예방 조치

PDO

기본적으로 PDO는 에뮬레이트된 준비된 문을 사용합니다. MySQL에 대한 에뮬레이션을 비활성화하고 실제 준비된 문을 적용하려면 다음을 설정합니다.

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

MySQLi

마찬가지로 다음을 설정합니다.

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); // error reporting
$dbConnection = new mysqli('127.0.0.1', 'username', 'password', 'test');
$dbConnection->set_charset('utf8mb4'); // charset

준비된 문 이해

준비된 명령문은 실행 시 데이터베이스 서버에 의해 구문 분석되고 컴파일됩니다. 매개변수는 데이터베이스 엔진에 필터를 적용할 위치를 알려줍니다. 값이 포함된 준비된 문을 실행할 때 컴파일된 문은 SQL 문자열이 아닌 해당 값과 결합됩니다. 이렇게 하면 의도하지 않은 SQL 실행으로 이어질 수 있는 악성 문자열 삽입을 방지할 수 있습니다.

주의 사항

준비된 문은 쿼리 구조가 변경되는 동적 쿼리에는 적합하지 않습니다. 이러한 경우 가능한 값을 제한하는 화이트리스트 필터를 사용해야 합니다.

위 내용은 준비된 문은 어떻게 PHP에서 SQL 주입을 방지할 수 있나요?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!