PHP 中的預處理語句如何防止 SQL 注入？

防範PHP 中的SQL 注入

在沒有採取適當預防措施的情況下將使用者輸入整合到SQL 查詢時，會出現SQL 注入的程式碼漏洞。考慮以下易受攻擊的程式碼片段：

$unsafe_variable = $_POST['user_input']; 

mysql_query("INSERT INTO `table` (`column`) VALUES ('$unsafe_variable')");

此場景可以透過使用者輸入字串（例如值'）來利用； DROP TABLE 表；--，導致惡意查詢：

INSERT INTO `table` (`column`) VALUES('value'); DROP TABLE table;--')

預防策略

為了避免此類攻擊，必須將資料與SQL 分離，確保資料被視為資料且不被SQL 解析器解釋為命令。具有參數化查詢的預先準備語句提供了一個強大的解決方案，將 SQL 語句和參數值分開。資料庫伺服器解析並編譯SQL語句，將參數視為字串，有效阻止惡意SQL注入嘗試。

實作Prepared Statements

PDO

$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');
$stmt->execute([ 'name' => $name ]);

foreach ($stmt as $row) {
    // Do something with $row
}

MySQLi for MySQL (PHP 8.2 )

$result = $db->execute_query('SELECT * FROM employees WHERE name = ?', [$name]);
while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

MySQLi for MySQL (PHP 8.2 )

My

$stmt = $db->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' specifies the variable type => 'string'
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

SQLSQLi for My（最高8.1)

PDO 和 MySQLi 的其他注意事項

PDO

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

預設情況下，PDO 使用模擬準備語句。若要停用MySQL 模擬並強制執行真正的預先準備語句，請設定：

MySQLi

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); // error reporting
$dbConnection = new mysqli('127.0.0.1', 'username', 'password', 'test');
$dbConnection->set_charset('utf8mb4'); // charset

類似地，設定：

了解預先準備語句

準備好的語句在執行時由資料庫伺服器解析和編譯。參數通知資料庫引擎在何處套用過濾器。當執行帶有值的預先準備語句時，編譯後的語句將與這些值組合，而不是與 SQL 字串組合。這可以防止注入可能導致意外 SQL 執行的惡意字串。

注意事項

準備好的語句不適合用於查詢結構發生變更的動態查詢。在這種情況下，應使用限制可能值的白名單過濾器。

以上是PHP 中的預處理語句如何防止 SQL 注入？的詳細內容。更多資訊請關注PHP中文網其他相關文章！