SQLite参考手册
简体中文(ZH-CN) English(EN) 繁体中文(ZH-TW) 日本語(JA) 한국어(KO) Melayu(MS) Français(FR) Deutsch(DE)
目录 搜索
SQLite 基础教程 SQLite 安装 SQLite 命令 SQLite 语法 SQLite 数据类型 SQLite 创建数据库 SQLite 附加数据库 SQLite 分离数据库 SQLite 创建表 SQLite 删除表 SQLite Insert 语句 SQLite Select 语句 SQLite 运算符 SQLite 表达式 SQLite Where 子句 SQLite AND/OR 运算符 SQLite Update 语句 SQLite Delete 语句 SQLite Like 子句 SQLite Glob 子句 SQLite Limit 子句 SQLite Order By SQLite Group By SQLite Having 子句 SQLite Distinct 关键字 SQLite 接口 SQLite - C/C++ SQLite - Java SQLite - PHP SQLite - Perl SQLite - Python SQLite 高级教程 SQLite PRAGMA SQLite 约束 SQLite Joins SQLite Unions 子句 SQLite NULL 值 SQLite 别名 SQLite 触发器（Trigger） SQLite 索引（Index） SQLite Indexed By SQLite Alter 命令 SQLite Truncate Table SQLite 视图（View） SQLite 事务（Transaction） SQLite 子查询 SQLite Autoincrement（自动递增） SQLite 注入 SQLite Explain（解释） SQLite Vacuum SQLite 日期 & 时间 SQLite 常用函数

©
本文档使用 PHP中文网手册 发布

文字

SQLite 注入

如果您的站点允许用户通过网页输入，并将输入内容插入到 SQLite 数据库中，这个时候您就面临着一个被称为 SQL 注入的安全问题。本章节将向您讲解如何防止这种情况的发生，确保脚本和 SQLite 语句的安全。

注入通常在请求用户输入时发生，比如需要用户输入姓名，但用户却输入了一个 SQLite 语句，而这语句就会在不知不觉中在数据库上运行。

永远不要相信用户提供的数据，所以只处理通过验证的数据，这项规则是通过模式匹配来完成的。在下面的实例中，用户名 username 被限制为字母数字字符或者下划线，长度必须在 8 到 20 个字符之间 - 请根据需要修改这些规则。

if (preg_match("/^\w{8,20}$/", $_GET['username'], $matches)){
   $db = new SQLiteDatabase('filename');
   $result = @$db->query("SELECT * FROM users WHERE username=$matches[0]");
}else{
   echo "username not accepted";
}

为了演示这个问题，假设考虑此摘录：To demonstrate the problem, consider this excerpt:

$name = "Qadir'; DELETE FROM users;";
@$db->query("SELECT * FROM users WHERE username='{$name}'");

函数调用是为了从用户表中检索 name 列与用户指定的名称相匹配的记录。正常情况下，$name 只包含字母数字字符或者空格，比如字符串 ilia。但在这里，向 $name 追加了一个全新的查询，这个对数据库的调用将会造成灾难性的问题：注入的 DELETE 查询会删除 users 的所有记录。

虽然已经存在有不允许查询堆叠或在单个函数调用中执行多个查询的数据库接口，如果尝试堆叠查询，则会调用失败，但 SQLite 和 PostgreSQL 里仍进行堆叠查询，即执行在一个字符串中提供的所有查询，这会导致严重的安全问题。

防止 SQL 注入

在脚本语言中，比如 PERL 和 PHP，您可以巧妙地处理所有的转义字符。编程语言 PHP 提供了字符串函数 sqlite_escape_string() 来转义对于 SQLite 来说比较特殊的输入字符。

if (get_magic_quotes_gpc()) 
{
  $name = sqlite_escape_string($name);
}
$result = @$db->query("SELECT * FROM users WHERE username='{$name}'");

虽然编码使得插入数据变得安全，但是它会呈现简单的文本比较，在查询中，对于包含二进制数据的列，LIKE 子句是不可用的。

请注意，addslashes() 不应该被用在 SQLite 查询中引用字符串，它会在检索数据时导致奇怪的结果。

上一篇： 下一篇：