PHP函數addslashes與mysql_real_escape_string區別分析

CREATE TABLE users(
 username VARCHAR(32) CHARACTER SET GBK,
 password VARCHAR(32) CHARACTER SET GBK,
 PRIMARY KEY(username)
);

例子，模拟只使用addslashes（或magic_quotes_gpc）对查询数据进行转义时的情况：

$mysql = array();
$db = mysqli_init();
$db->real_connect('localhost', 'lorui', 'lorui.com', 'lorui_db');
/* SQL注入示例 */
$_POST['username'] = chr(0xbf) . chr(0×27) . ‘ OR username = username /*'; $_POST['password'] = ‘guess'; $mysql['username'] = addslashes($_POST['username']); $mysql['password'] = addslashes($_POST['password']); $sql = “SELECT * FROM users WHERE username = ‘{$mysql['username']}' AND password = ‘{$mysql['password']}'”; $result = $db->query($sql); if ($result->num_rows) { /* 成功 */ } else { /* 失败 */ }

尽管使用了addslashes，还是可以在不知道用户名和密码的情况下成功登录。 可以轻松的利用这个漏洞进行SQL注入。 避免这种漏洞，使用mysql_real_escape_string、准备语句（Prepared Statements，即“参数化查询”）或任意一款主流的数据库抽象类库。