PHP中该怎样防止SQL注入？_PHP-php教程-PHP中文网

问题描述：

Theo）：" >最佳回答（来自Theo）：

解析

首页

后端开发

php教程

PHP中该怎样防止SQL注入？_PHP

WBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWB

Jun 01, 2016 am 11:53 AM

sql注入

SQL注入

问题描述：

如果用户输入的数据在未经处理的情况下插入到一条SQL查询语句，那么应用将很可能遭受到SQL注入攻击，正如下面的例子：

<ol class="dp-sql">
<li class="alt"><span><span>$unsafe_variable = <h2 id="问题描述">问题描述：</h2>
<p>如果用户输入的数据在未经处理的情况下插入到一条SQL查询语句，那么应用将很可能遭受到SQL注入攻击，正如下面的例子：</p>
<pre class="brush:php;toolbar:false">___FCKpd___0

登录后复制

因为用户的输入可能是这样的：

1	`<ol` `class="dp-sql"><li` `class="alt"><span><span>value'); </span><span` `class="keyword">DROP</span><span> </span><span` `class="keyword">TABLE</span><span> </span><span` `class="keyword">table</span><span>;</span><span` `class="comment">--</span><span> </span></span></li></ol>`

登录后复制

那么SQL查询将变成如下：

<ol class="dp-sql"><li class="alt"><span class="keyword">INSERT <span class="keyword">INTO `table` (`column`) VALUES(<span class="string">'value'); <span class="keyword">DROP <span class="keyword">TABLE <span class="keyword">table;<span class="comment">--') </li></ol>

登录后复制

应该采取哪些有效的方法来防止SQL注入？

最佳回答（来自Theo）：

使用预处理语句和参数化查询。预处理语句和参数分别发送到数据库服务器进行解析，参数将会被当作普通字符处理。这种方式使得攻击者无法注入恶意的SQL。你有两种选择来实现该方法：

1、使用PDO：

<ol class="dp-sql">
<li class="alt"><span><span>$stmt = $pdo-></span><span class="keyword">prepare</span><span>(</span><span class="string">'SELECT * FROM employees WHERE name = :name'</span><span>);  </span></span></li>
<li><span>   </span></li>
<li class="alt">
<span>$stmt-></span><span class="keyword">execute</span><span>(array(</span><span class="string">'name'</span><span> => $</span><span class="keyword">name</span><span>));  </span>
</li>
<li><span>   </span></li>
<li class="alt">
<span>foreach ($stmt </span><span class="keyword">as</span><span> $row) {  </span>
</li>
<li>
<span>    // do something </span><span class="keyword">with</span><span> $row  </span>
</li>
<li class="alt"><span>} </span></li>
</ol>

登录后复制

2、使用mysqli：

<ol class="dp-sql">
<li class="alt"><span><span>$stmt = $dbConnection-></span><span class="keyword">prepare</span><span>(</span><span class="string">'SELECT * FROM employees WHERE name = ?'</span><span>);  </span></span></li>
<li>
<span>$stmt->bind_param(</span><span class="string">'s'</span><span>, $</span><span class="keyword">name</span><span>);  </span>
</li>
<li class="alt"><span>   </span></li>
<li>
<span>$stmt-></span><span class="keyword">execute</span><span>();  </span>
</li>
<li class="alt"><span>   </span></li>
<li><span>$result = $stmt->get_result();  </span></li>
<li class="alt"><span>while ($row = $result->fetch_assoc()) {  </span></li>
<li>
<span>    // do something </span><span class="keyword">with</span><span> $row  </span>
</li>
<li class="alt"><span>} </span></li>
</ol>

登录后复制

PDO

注意，在默认情况使用PDO并没有让MySQL数据库执行真正的预处理语句（原因见下文）。为了解决这个问题，你应该禁止PDO模拟预处理语句。一个正确使用PDO创建数据库连接的例子如下：

<ol class="dp-sql">
<li class="alt"><span><span>$dbConnection = new PDO(</span><span class="string">'mysql:dbname=dbtest;host=127.0.0.1;charset=utf8'</span><span>, </span><span class="string">'user'</span><span>, </span><span class="string">'pass'</span><span>);  </span></span></li>
<li><span>   </span></li>
<li class="alt">
<span>$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, </span><span class="keyword">false</span><span>);  </span>
</li>
<li><span>$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); </span></li>
</ol>

登录后复制

在上面的例子中，报错模式(ATTR_ERRMODE)并不是必须的，但建议加上它。这样，当发生致命错误(Fatal Error)时，脚本就不会停止运行，而是给了程序员一个捕获PDOExceptions的机会，以便对错误进行妥善处理。然而，第一个setAttribute()调用是必须的，它禁止PDO模拟预处理语句，而使用真正的预处理语句，即有MySQL执行预处理语句。这能确保语句和参数在发送给MySQL之前没有被PHP处理过，这将使得攻击者无法注入恶意SQL。了解原因，可参考这篇博文：PDO防注入原理分析以及使用PDO的注意事项。注意在老版本的PHP(silently ignored the charset parameter。

解析

当你将SQL语句发送给数据库服务器进行预处理和解析时发生了什么？通过指定占位符（一个?或者一个上面例子中命名的 :name），告诉数据库引擎你想在哪里进行过滤。当你调用execute的时候，预处理语句将会与你指定的参数值结合。关键点就在这里：参数的值是和经过解析的SQL语句结合到一起，而不是SQL字符串。SQL注入是通过触发脚本在构造SQL语句时包含恶意的字符串。所以，通过将SQL语句和参数分开，你防止了SQL注入的风险。任何你发送的参数的值都将被当作普通字符串，而不会被数据库服务器解析。回到上面的例子，如果$name变量的值为 ’Sarah’; DELETE FROM employees ，那么实际的查询将是在 employees 中查找 name 字段值为 ’Sarah’; DELETE FROM employees 的记录。另一个使用预处理语句的好处是：如果你在同一次数据库连接会话中执行同样的语句许多次，它将只被解析一次，这可以提升一点执行速度。如果你想问插入该如何做，请看下面这个例子（使用PDO）：

<ol class="dp-sql">
<li class="alt"><span><span>$preparedStatement = $db-></span><span class="keyword">prepare</span><span>(</span><span class="string">'INSERT INTO table (column) VALUES (:column)'</span><span>);  </span></span></li>
<li><span>   </span></li>
<li class="alt">
<span>$preparedStatement-></span><span class="keyword">execute</span><span>(array(</span><span class="string">'column'</span><span> => $unsafeValue)); </span>
</li>
</ol>

登录后复制

POST['user_input'];

mysql_query("INSERT INTO `table` (`column`) VALUES ('" . $unsafe_variable . "')");

因为用户的输入可能是这样的：

1	`___FCKpd___1`

登录后复制

那么SQL查询将变成如下：

1	`___FCKpd___2`

登录后复制

应该采取哪些有效的方法来防止SQL注入？

最佳回答（来自Theo）：

1、使用PDO：

1	`___FCKpd___3`

登录后复制

2、使用mysqli：

1	`___FCKpd___4`

登录后复制

PDO

1	`___FCKpd___5`

登录后复制

解析

1	`___FCKpd___6`

登录后复制

本站声明

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn

热AI工具

Undresser.AI Undress

人工智能驱动的应用程序，用于创建逼真的裸体照片

AI Clothes Remover

用于从照片中去除衣服的在线人工智能工具。

Undress AI Tool

免费脱衣服图片

Clothoff.io

AI脱衣机

AI Hentai Generator

免费生成ai无尽的。

显示更多

热工具

记事本++7.3.1

好用且免费的代码编辑器

SublimeText3汉化版

中文版，非常好用

禅工作室 13.0.1

功能强大的PHP集成开发环境

Dreamweaver CS6

视觉化网页开发工具

SublimeText3 Mac版

神级代码编辑软件(SublimeText3)

显示更多

热门话题

gmail邮箱登陆入口在哪里

7504

CakePHP 教程

1378

steam的账户名称是什么格式

win11激活密钥永久

NYT连接提示和答案

显示更多

Related knowledge

Nginx基础安全知识：防范SQL注入攻击 Jun 10, 2023 pm 12:31 PM

Nginx是一个快速、高性能、可扩展的Web服务器，它的安全性是Web应用程序开发中不可忽略的问题。尤其是SQL注入攻击，它可以对Web应用程序造成巨大的破坏。在本篇文章中，我们将讨论如何使用Nginx来防范SQL注入攻击，以保护Web应用程序的安全。什么是SQL注入攻击？SQL注入攻击是一种利用Web应用程序漏洞的攻击方式。攻击者会在Web应用程序中注入恶

如何使用exp进行SQL报错注入 May 12, 2023 am 10:16 AM

0x01前言概述小编又在MySQL中发现了一个Double型数据溢出。当我们拿到MySQL里的函数时，小编比较感兴趣的是其中的数学函数，它们也应该包含一些数据类型来保存数值。所以小编就跑去测试看哪些函数会出现溢出错误。然后小编发现，当传递一个大于709的值时，函数exp()就会引起一个溢出错误。mysql>selectexp(709);+-----------------------+|exp(709)|+-----------------------+|8.218407461554972

PHP编程技巧：如何防止SQL注入攻击 Aug 17, 2023 pm 01:49 PM

PHP编程技巧：如何防止SQL注入攻击在进行数据库操作时，安全是至关重要的。SQL注入攻击是一种常见的网络攻击，它利用了应用程序对用户输入的不正确处理，从而导致恶意的SQL代码被插入并执行。为了保护应用程序免受SQL注入攻击的影响，我们需要采取一些防范措施。使用参数化查询参数化查询是最基本也是最有效的防范SQL注入攻击的方法。它通过将用户输入的值与SQL查询

Laravel开发注意事项：防止SQL注入的方法与技巧 Nov 22, 2023 pm 04:56 PM

Laravel开发注意事项：防止SQL注入的方法与技巧随着互联网的发展和计算机技术的不断进步，Web应用程序的开发也变得越来越普遍。在开发过程中，安全性一直是开发者不可忽视的重要问题。其中，防止SQL注入攻击是开发过程中需要特别关注的安全问题之一。本文将介绍几种Laravel开发中常用的方法和技巧，帮助开发者有效地防止SQL注入。使用参数绑定参数绑定是Lar

PHP SQL注入漏洞的检测和修复 Aug 08, 2023 pm 02:04 PM

PHPSQL注入漏洞的检测和修复概述：SQL注入是指攻击者利用Web应用程序对输入进行恶意注入SQL代码的一种攻击方式。PHP作为一种广泛应用于Web开发的脚本语言，被广泛用于开发动态网站和应用程序。然而，由于PHP的灵活性和易用性，开发者常常忽略了安全性，导致了SQL注入漏洞的存在。本文将介绍如何检测和修复PHP中的SQL注入漏洞，并提供相关代码示例。检

如何使用PHP防止SQL注入攻击 Jun 24, 2023 am 10:31 AM

在网络安全领域里，SQL注入攻击是一种常见的攻击方式。它利用恶意用户提交的恶意代码来改变应用程序的行为以执行不安全的操作。常见的SQL注入攻击包括查询操作、插入操作和删除操作。其中，查询操作是最常被攻击的一种，而防止SQL注入攻击的一个常用的方法是使用PHP。PHP是一种常用的服务器端脚本语言，它在web应用程序中的使用非常广泛。PHP可以与MySQL等关系

PHP表单过滤：SQL注入防范与过滤 Aug 07, 2023 pm 03:49 PM

PHP表单过滤：SQL注入防范与过滤引言：随着互联网的快速发展，Web应用程序的开发变得越来越普遍。在Web开发中，表单是最常见的用户交互方式之一。然而，表单提交数据的处理过程中存在着安全风险。其中，最常见的风险之一就是SQL注入攻击。SQL注入攻击是一种利用Web应用程序对用户输入数据进行处理不当而导致攻击者能够执行非授权数据库查询的攻击方式。攻击者通过在

SQL注入漏洞在PHP中的应对策略 Aug 09, 2023 pm 03:09 PM

SQL注入是一种常见的网络攻击方式，它利用应用程序对输入数据的不完善处理，成功将恶意的SQL语句注入到数据库中。这种攻击方式特别常见于使用PHP语言开发的应用程序中，因为PHP对用户输入的处理通常相对较弱。本文将介绍一些应对SQL注入漏洞的策略，并提供PHP代码示例。使用预处理语句预处理语句是一种建议的防御SQL注入的方法。它使用绑定参数的方式，将输入数据与

See all articles

PHP中该怎样防止SQL注入？_PHP

问题描述：

最佳回答（来自Theo）：

解析

最佳回答（来自Theo）：

解析

热AI工具

Undresser.AI Undress

AI Clothes Remover

Undress AI Tool

Clothoff.io

AI Hentai Generator

热门文章

热工具

记事本++7.3.1

SublimeText3汉化版

禅工作室 13.0.1

Dreamweaver CS6

SublimeText3 Mac版

热门话题