PHP 프로그래밍 팁: SQL 삽입 공격을 방지하는 방법-PHP 튜토리얼-php.cn

PHP 프로그래밍 팁: SQL 삽입 공격을 방지하는 방법

PHPz

풀어 주다： 2023-08-17 13:50:02

원래의

890명이 탐색했습니다.

PHP 프로그래밍 팁: SQL 삽입 공격을 방지하는 방법

PHP 프로그래밍 팁: SQL 주입 공격을 방지하는 방법

데이터베이스 작업을 수행할 때 보안은 매우 중요합니다. SQL 삽입 공격은 애플리케이션이 사용자 입력을 부적절하게 처리하는 방식을 악용하여 악성 SQL 코드가 삽입 및 실행되는 일반적인 네트워크 공격입니다. SQL 주입 공격으로부터 애플리케이션을 보호하려면 몇 가지 예방 조치를 취해야 합니다.

매개변수화된 쿼리 사용
매개변수화된 쿼리는 SQL 주입 공격을 방지하는 가장 기본적이고 효과적인 방법입니다. SQL 쿼리문과 사용자가 입력한 값을 별도로 처리하여 악성 SQL 코드가 실행되는 것을 방지합니다. PHP에서는 PDO(PHP Data Object) 확장을 사용하여 매개변수화된 쿼리를 구현할 수 있습니다.

다음은 간단한 코드 예입니다.

$servername = "localhost";
$username = "your_username";
$password = "your_password";
$dbname = "your_database";

try {
    $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    $username = $_POST['username'];
    $password = $_POST['password'];

    $stmt = $conn->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
    $stmt->bindParam(':username', $username);
    $stmt->bindParam(':password', $password);

    $stmt->execute();

    $result = $stmt->fetchAll(PDO::FETCH_ASSOC);
    // 处理查询结果...

} catch (PDOException $e) {
    // 处理异常...
}

로그인 후 복사

매개변수화된 쿼리를 사용하여 SQL 쿼리문과 별도로 사용자가 입력한 값을 처리하고 bindParam<을 통해 변수를 쿼리문과 결합합니다. /code> 메소드 자리표시자 바인딩. 이렇게 하면 사용자가 입력에 악성 SQL 코드를 삽입하더라도 실행되지 않습니다. <code>bindParam方法将变量与查询语句的占位符绑定。这样即使用户在输入中插入了恶意的SQL代码，它也不会被执行。

过滤和验证输入
除了使用参数化查询，我们还可以对用户的输入进行过滤和验证，以确保输入的数据符合预期的格式。可以使用PHP的过滤器函数来过滤和验证各种类型的输入，如filter_var()、filter_input()等。

下面是一个过滤和验证用户输入的代码示例：

$username = $_POST['username'];
$password = $_POST['password'];

if (!empty($username) && !empty($password)) {
    // 过滤和验证用户名和密码
    $filteredUsername = filter_var($username, FILTER_SANITIZE_STRING);
    $filteredPassword = filter_var($password, FILTER_SANITIZE_STRING);

    // 执行查询操作...
} else {
    // 用户名和密码不能为空
    echo "用户名和密码不能为空。";
}

로그인 후 복사

在上面的示例中，我们使用了FILTER_SANITIZE_STRING

filter_var()

filter_input()

rrreee
위 예제에서는 FILTER_SANITIZE_STRING 필터를 사용하여 사용자 입력에서 잘못된 문자를 제거했습니다. 이렇게 하면 사용자가 악성 SQL 코드를 입력하더라도 자동으로 삭제되거나 탈출되므로 SQL 인젝션 공격으로부터 애플리케이션을 보호할 수 있다.

데이터베이스 권한 최소화

위 내용은 PHP 프로그래밍 팁: SQL 삽입 공격을 방지하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!