PHP에서 SQL 주입을 방지하는 방법은 무엇입니까?

SQL 인젝션(SQLi)은 악성 SQL문을 실행할 수 있는 인젝션 공격이다. 공격자는 데이터베이스 쿼리에 임의의 SQL 코드를 삽입하여 웹 애플리케이션 뒤의 데이터베이스 서버를 완벽하게 제어할 수 있습니다.

공격자는 SQL 주입 취약점을 사용하여 애플리케이션 보안 조치를 우회할 수 있으며, 웹 페이지 또는 웹 애플리케이션의 인증 및 승인을 우회할 수 있으며, 전체 SQL 데이터베이스의 콘텐츠를 검색하여 추가, 수정할 수도 있습니다. 데이터베이스의 레코드를 삭제합니다.

PHP에서 SQL 주입을 방지하는 방법은 무엇입니까?

1 SQL 주입 공격에 가장 취약한 때는 언제입니까

SQL 주입 공격은 애플리케이션이 입력 콘텐츠를 사용하여 데이터베이스에 액세스하기 위해 동적 SQL 문을 구성할 때 발생합니다.

2. SQL 주입을 방지하는 방법

a, 사용자 입력을 절대 신뢰하지 마세요. 정규식을 사용하거나 길이를 제한하여 작은따옴표와 "_"를 변환할 수 있습니다.

권장하지 않음:

//$user = htmlspecialchars(addslashes($user));
 //$pwd = htmlspecialchars(addslashes($pwd));
 //$yzm = htmlspecialchars(addslashes($yzm));

사용해야 함:

$user = htmlspecialchars(addslashes($user));
$pwd = htmlspecialchars(addslashes($pwd));
$yzm = htmlspecialchars(addslashes($yzm));

b, 동적 어셈블리 SQL을 사용하지 마십시오. 매개변수화된 SQL을 사용하거나 데이터 쿼리 및 액세스에 저장 프로시저를 직접 사용할 수 있습니다.

권장하지 않음:

// $sql = "select * from user where user='$user' and pwd ='$pwd'";

사용해야 함:

$sql = "select * from user where user=? and pwd =?";

c, 관리자 권한으로 데이터베이스 연결을 사용하지 마세요. 각 애플리케이션에 대해 제한된 권한으로 별도의 데이터 연결을 사용합니다.

$conn = @new mysqli('localhost','root','','myschool');
if($conn->connect_error){
die('连接数据库失败');
}
 
$conn->set_charset('utf8');

d, 기밀 정보를 직접 저장하지 말고, 비밀번호와 민감한 정보를 암호화하거나 해시하지 마세요.

e ,QL 주입 탐지 방법은 일반적으로 보조 소프트웨어를 사용하거나 웹사이트 플랫폼 감지 소프트웨어는 일반적으로 SQL 주입 감지 도구인 jsky를 사용합니다. 웹사이트 플랫폼 감지 도구인 Yisi가 있습니다

3. php mysqli 확장의 전처리

Mysqli 작업에는 종종 MYSQLI 클래스가 포함됩니다. , MYSQL_STMT 클래스, MYSQLI_RESULT 클래스 등 전처리는 주로 MYSQL_STMT 클래스를 이용하여 이루어진다.

전처리는 SQL 삽입을 방지하는 중요한 수단이며 웹사이트 보안을 향상시키는 데 큰 의미가 있습니다. 준비된 문의 작동 원리:

(1) 전처리: SQL 문 템플릿을 생성하여 데이터베이스로 보냅니다. 값은 ? 매개변수를 사용하여 표시됩니다.

예: myguests(이름,성,이메일) 값에 삽입 ​​(?,?,?)

(2) 데이터베이스 분석, 컴파일, SQL 문 템플릿에 대한 쿼리 최적화 및 출력 없이 결과 저장

if ($stmt = $conn->prepare($sql)) {
 
$stmt -> bind_param("ss",$user,$pwd);
$stmt -> execute();
$stmt -> store_result();
    //$res = $conn ->query($sql);
  if ($stmt->num_rows==0) {
show_error('输入的用户名或密码错误','demo1.html');
   }
   $stmt -> close();
}
$conn ->close();

(3)이 실행되면 애플리케이션에서 바인딩한 값이 매개변수("?" 표시)에 전달되고, 애플리케이션은 매개변수의 값이 다른 경우 해당 문을 여러 번 실행할 수 있습니다.

PHP 관련 지식을 더 보려면PHP 중국어 웹사이트를 방문하세요!

위 내용은 PHP에서 SQL 주입을 방지하는 방법은 무엇입니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!