防止 PHP 中的 SQL 注入：最佳实践和技术

创作时间:

作者:

@小白创作中心

防止 PHP 中的 SQL 注入：最佳实践和技术

引用

来源

https://www.tempmail.us.com/zh/php/%E9%98%B2%E6%AD%A2-php-%E4%B8%AD%E7%9A%84-sql-%E6%B3%A8%E5%85%A5-%E6%9C%80%E4%BD%B3%E5%AE%9E%E8%B7%B5%E5%92%8C%E6%8A%80%E6%9C%AF

SQL注入是一种严重的安全漏洞，当用户输入未经适当清理而直接插入SQL查询时就会发生。这可能会导致未经授权的访问、数据操纵，甚至完全数据丢失，因此开发人员了解并减轻这些风险至关重要。本文将探讨常见的SQL注入攻击，并讨论防止SQL注入和保护PHP应用程序的有效策略。

什么是SQL注入？

SQL注入是一种代码注入技术，通过将恶意SQL代码插入查询来利用应用程序软件中的漏洞。这种攻击可能导致对数据库数据的未经授权的访问、数据操纵，甚至删除整个表，构成重大的安全威胁。

防止SQL注入的基本方法

使用准备好的语句

准备好的语句是预先编译和存储的SQL语句，允许通过绑定参数更安全地执行查询，从而防止SQL注入。以下是使用PHP和MySQLi实现准备好的语句的示例：

<?php  
// 创建一个新的MySQLi连接  
$mysqli = new mysqli("localhost", "user", "password", "database");  
// 检查连接  
if ($mysqli->connect_error) {  
    die("连接失败: " . $mysqli->connect_error);  
}  
// 准备SQL语句  
$stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");  
// 绑定参数  
$stmt->bind_param("s", $user_input);  
// 设置用户输入  
$user_input = $_POST['user_input'];  
// 执行语句  
$stmt->execute();  
// 关闭语句和连接  
$stmt->close();  
$mysqli->close();  
?>

转义用户输入

转义用户输入是另一种防止SQL注入的方法。通过使用$mysqli->real_escape_string()函数对字符串中的特殊字符进行转义，使其可以安全地在SQL语句中使用，并降低SQL注入的风险。以下是使用PHP和MySQLi实现转义用户输入的示例：

<?php  
// 创建一个新的MySQLi连接  
$mysqli = new mysqli("localhost", "user", "password", "database");  
// 检查连接  
if ($mysqli->connect_error) {  
    die("连接失败: " . $mysqli->connect_error);  
}  
// 转义用户输入  
$unsafe_variable = $_POST['user_input'];  
$safe_variable = $mysqli->real_escape_string($unsafe_variable);  
// 创建SQL查询  
$sql = "INSERT INTO `table` (`column`) VALUES ('$safe_variable')";  
// 执行查询  
if ($mysqli->query($sql) === TRUE) {  
    echo "新记录创建成功";  
} else {  
    echo "错误: " . $sql . "<br>" . $mysqli->error;  
}  
// 关闭连接  
$mysqli->close();  
?>

使用PDO

PDO（PHP数据对象）提供了一个数据访问抽象层，可以使用统一的API访问不同的数据库。以下是使用PHP和PDO实现防止SQL注入的示例：

<?php  
// 创建一个新的PDO连接  
$pdo = new PDO('mysql:host=localhost;dbname=database', 'user', 'password');  
// 准备SQL语句  
$stmt = $pdo->prepare("INSERT INTO table (column) VALUES (:user_input)");  
// 绑定参数  
$stmt->bindParam(':user_input', $user_input);  
// 设置用户输入  
$user_input = $_POST['user_input'];  
// 执行语句  
$stmt->execute();  
// 关闭连接  
$pdo = null;  
?>