준비된 명령문 및 매개 변수화 된 쿼리는 PHP 응용 프로그램에서 SQL 주입을 어떻게 방지 할 수 있습니까?

SQL 주입으로부터 PHP 애플리케이션 보호

소개

SQL 주입은 SQL 쿼리 내에서 사용자 입력을 처리하는 애플리케이션에 여전히 심각한 위협으로 남아 있습니다. 공격자는 취약점을 악용하여 악성 명령을 주입하여 잠재적으로 전체 데이터베이스를 손상시킵니다. 이 문서에서는 PHP에서 SQL 삽입을 방지하는 강력한 방법을 자세히 설명합니다.

SQL 주입 위협 이해

SQL 삽입 공격은 확인되지 않은 사용자 입력이 SQL 쿼리에 직접 영향을 미칠 때 발생합니다. 예:

<code class="language-php">$userInput = $_POST['user_input'];
mysql_query("INSERT INTO users (username) VALUES ('$userInput')");</code>

$userInput에 '; DROP TABLE users; --과 같은 악성 코드가 포함되어 있는 경우 데이터베이스는 이 파괴적인 명령을 실행합니다.

효과적인 예방 전략

1. 준비된 명령문과 매개변수화된 쿼리: 방어의 초석

핵심 원칙은 SQL 쿼리 구조에서 데이터를 분리하는 것입니다. 준비된 문(또는 매개변수화된 쿼리)은 다음을 통해 이를 달성합니다.

• 쿼리/데이터 분리: 데이터베이스 서버는 데이터 값과 독립적으로 SQL 쿼리를 구문 분석합니다.
• 문자열 데이터: 모든 데이터를 리터럴 문자열로 처리하여 악성 SQL 코드를 무력화합니다.

PDO(PHP 데이터 개체) 사용: 권장 접근 방식

PDO는 다양한 데이터베이스 시스템 전반에 걸쳐 일관된 인터페이스를 제공합니다. 준비된 명령문과 함께 PDO를 사용하는 방법은 다음과 같습니다.

<code class="language-php">$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');
$stmt->execute(['name' => $name]);

foreach ($stmt as $row) {
    // Process each row
}</code>

MySQLi(MySQL 개선): MySQL의 대안

MySQLi는 매개변수화된 쿼리를 실행하는 두 가지 방법을 제공합니다.

execute_query()(PHP 8.2 이상):

<code class="language-php">$result = $db->execute_query('SELECT * FROM employees WHERE name = ?', [$name]);
while ($row = $result->fetch_assoc()) {
    // Process each row
}</code>

prepare() 및 execute():

<code class="language-php">$stmt = $db->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' denotes a string parameter
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // Process each row
}</code>

2. 데이터베이스 연결 모범 사례

PDO:

최적의 보안을 위해 에뮬레이트된 준비된 문을 비활성화합니다.

<code class="language-php">$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);</code>

MySQLi:

강력한 오류 보고를 활성화하고 문자 집합을 지정합니다.

<code class="language-php">mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$dbConnection = new mysqli('localhost', 'username', 'password', 'database');
$dbConnection->set_charset('utf8mb4');</code>

3. 추가 보안 고려 사항

동적 쿼리: 준비된 문은 데이터 매개변수를 처리하지만 쿼리 구조 자체는 매개변수화할 수 없습니다. 동적 쿼리의 경우 화이트리스트를 사용하여 허용되는 값을 제한하세요.

결론

SQL 주입으로부터 PHP 애플리케이션을 보호하려면 준비된 명령문을 구현하고 데이터베이스 연결 모범 사례를 따르는 것이 중요합니다. SQL 쿼리 내에서 데이터 분리의 우선순위를 정하면 데이터베이스 무결성과 애플리케이션 보안이 보장됩니다.

위 내용은 준비된 명령문 및 매개 변수화 된 쿼리는 PHP 응용 프로그램에서 SQL 주입을 어떻게 방지 할 수 있습니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!