在PHP中該怎樣防止SQL注入
問題描述:
如果用户輸入的數據在未經處理的情況下插入到一條SQL查詢語句,那麼應用將很可能遭受到SQL注入攻擊,正如下面的例子:
123 | $unsafe_variable=$_POST['user_input'];mysql_query("INSERT INTO `table` (`column`) VALUES ('".$unsafe_variable."')"); |
因為用户的輸入可能是這樣的.:
1 | value'); DROP TABLE table;-- |
那麼SQL查詢將變成如下:
1 | INSERTINTO`table` (`column`)VALUES('value');DROPTABLEtable;--') |
應該採取哪些有效的方法來防止SQL注入?
最佳回答(來自Theo):
使用預處理語句和參數化查詢。預處理語句和參數分別發送到數據庫服務器進行解析,參數將會被當作普通字符處理。這種方式使得攻擊者無法注入惡意的SQL。 你有兩種選擇來實現該方法:
1、使用PDO:
1234567 | $stmt=$pdo->prepare('SELECT * FROM employees WHERE name = :name');$stmt->execute(array('name'=>$name));foreach($stmtas$row) {// do something with $row} |
2、使用mysqli:
123456789 | $stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');$stmt->bind_param('s', $name);$stmt->execute();$result = $stmt->get_result();while($row = $result->fetch_assoc()) {// do something with $row} |
PDO
注意,在默認情況使用PDO並沒有讓MySQL數據庫執行真正的預處理語句(原因見下文)。為了解決這個問題,你應該禁止PDO模擬預處理語句。一個正確使用PDO創建數據庫連接的例子如下:
1234 | $dbConnection=newPDO('mysql:dbname=dbtest;host=;charset=utf8','user','pass');$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); |
在上面的例子中,報錯模式(ATTR_ERRMODE)並不是必須的,但建議加上它。這樣,當發生致命錯誤(Fatal Error)時,腳本就不會停止運行,而是給了程序員一個捕獲PDOExceptions的機會,以便對錯誤進行妥善處理。 然而,第一個setAttribute()調用是必須的,它禁止PDO模擬預處理語句,而使用真正的預處理語句,即有MySQL執行預處理語句。這能確保語句和參數在發送給MySQL之前沒有被PHP處理過,這將使得攻擊者無法注入惡意SQL。瞭解原因,可參考這篇博文:PDO防注入原理分析以及使用PDO的注意事項。 注意在老版本的PHP(<5.3.6),你無法通過在PDO的構造器的DSN上設置字符集,參考:silently ignored the charset parameter。
解析
當你將SQL語句發送給數據庫服務器進行預處理和解析時發生了什麼?通過指定佔位符(一個?或者一個上面例子中命名的 :name),告訴數據庫引擎你想在哪裏進行過濾。當你調用execute的時候,預處理語句將會與你指定的參數值結合。 關鍵點就在這裏:參數的值是和經過解析的SQL語句結合到一起,而不是SQL字符串。SQL注入是通過觸發腳本在構造SQL語句時包含惡意的字符串。所以,通過將SQL語句和參數分開,你防止了SQL注入的風險。任何你發送的參數的值都將被當作普通字符串,而不會被數據庫服務器解析。回到上面的例子,如果$name變量的值為’Sarah’; DELETE FROM employees ,那麼實際的查詢將是在 employees 中查找 name 字段值為’Sarah’; DELETE FROM employees 的記錄。 另一個使用預處理語句的好處是:如果你在同一次數據庫連接會話中執行同樣的語句許多次,它將只被解析一次,這可以提升一點執行速度。 如果你想問插入該如何做,請看下面這個例子(使用PDO):
123 | $preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');$preparedStatement->execute(array('column'=> $unsafeValue)); |
-
tp搜索時首頁分頁和搜索頁保持條件分頁的方法
在做搜索查詢時突然發現在首頁用的`分頁代碼在搜索頁使用時出現錯誤,首頁分頁代碼(代碼中標註start與end部分為分頁代碼),下面是由本站小編為大家整理的Thinkphp搜索時首頁分頁和搜索頁保持條件分頁的方法,喜歡的可以收藏一下!瞭解更多詳情資訊,請關注應屆畢業生...
-
PHP編程中10個最常見的錯誤
在生活中,好多人疑惑PHP語言難不難呢?那麼,小編來解答PHP編程中10個最常見的錯誤,歡迎來閲讀!錯誤1:foreach循環後留下懸掛指針在foreach循環中,如果我們需要更改迭代的元素或是為了提高效率,運用引用是一個好辦法:$arr=array(1,2,3,4);foreach($arras&$value){$val...
-
如何運用PHP實現字符串逆序排列
如何運用PHP實現字符串逆序排列呢?下面是小編給大家提供的實現方法,大家可以參考練習,更多詳情請關注應屆畢業生考試網。關於字符串的逆序排列,最簡單的使用PHP函數strrev()的測試代碼如下:header('Content-type:text/html;charset=utf-8');$str=implode(&...
-
PHP是否是最好的語言
最近被朋友們拉入了幾個技術社羣,有微信羣,也有QQ羣,尤其對一些年輕的朋友,大家樂此不疲的問題居然是PHP是最好的語言麼?我們推崇敢於質疑且獨立思考的自由精神,所以對PHP是最好的語言麼?這一問題,也是從疑問開始的。什麼是最好?《現代漢語詞典(第5版)》第1823頁對最...