PHP中怎樣防止SQL注入分析，php防止sql注入_PHP教程

PHP中怎樣防止SQL注入分析，php防止sql注入

本文執行個體分析了PHP中怎樣防止SQL注入。分享給大家供大家參考。具體分析如下：

一、問題描述：

　　如果使用者輸入的資料在未經處理的情況下插入到一條SQL查詢語句，那麼應用將很可能遭受到SQL注入攻擊，正如下面的例子：

複製代碼 代碼如下:$unsafe_variable = $_POST['user_input'];

mysql_query("INSERT INTO `table` (`column`) VALUES ('" . $unsafe_variable . "')");

因為使用者的輸入可能是這樣的：

複製代碼 代碼如下:value'); DROP TABLE table;--

那麼SQL查詢將變成如下：

複製代碼 代碼如下:INSERT INTO `table` (`column`) VALUES('value'); DROP TABLE table;--')
對此應該採取哪些有效方法來防止SQL注入？

二、解決方案分析：

使用預先處理語句和參數化查詢。預先處理語句和參數分別發送到資料庫伺服器進行解析，參數將會被當作一般字元處理。這種方式使得攻擊者無法注入惡意的SQL。 你有兩種選擇來實現該方法：

1、使用PDO：

複製代碼 代碼如下:$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');

$stmt->execute(array('name' => $name));

foreach ($stmt as $row) {
// do something with $row
}

2、使用mysqli：

複製代碼 代碼如下:$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name);

$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
// do something with $row
}

三、PDO

　　注意，在預設情況使用PDO並沒有讓MySQL資料庫執行真正的預先處理語句（原因見下文）。為瞭解決這個問題，你應該禁止PDO類比預先處理語句。一個正確使用PDO建立資料庫連接的例子如下：

複製代碼 代碼如下:$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
　　在上面的例子中，報錯模式(ATTR_ERRMODE)並不是必須的，但建議加上它。這樣，當發生致命錯誤(Fatal Error)時，指令碼就不會停止運行，而是給了程式員一個捕獲PDOExceptions的機會，以便對錯誤進行妥善處理。 然而，第一個setAttribute()調用是必須的，它禁止PDO類比預先處理語句，而使用真正的預先處理語句，即有MySQL執行預先處理語句。這能確保語句和參數在發送給MySQL之前沒有被PHP處理過，這將使得攻擊者無法注入惡意SQL。瞭解原因，可參考前面這篇文章：PDO防注入原理分析以及使用PDO的注意事項。 注意在老版本的PHP(<5.3.6)，你無法通過在PDO的構造器的DSN上設定字元集，參考：silently ignored the charset parameter 。

四、解析

　　當你將SQL語句發送給資料庫伺服器進行預先處理和解析時發生了什嗎？通過指定預留位置（一個?或者一個上面例子中命名的 :name），告訴資料庫引擎你想在哪裡進行過濾。當你調用execute的時候，預先處理語句將會與你指定的參數值結合。 關鍵點就在這裡：參數的值是和經過解析的SQL語句結合到一起，而不是SQL字串。SQL注入是通過觸發指令碼在構造SQL語句時包含惡意的字串。所以，通過將SQL語句和參數分開，你防止了SQL注入的風險。任何你發送的參數的值都將被當作一般字元串，而不會被資料庫伺服器解析。回到上面的例子，如果$name變數的值為 'Sarah'; DELETE FROM employees ，那麼實際的查詢將是在 employees 中尋找 name 欄位值為 'Sarah'; DELETE FROM employees 的記錄。 另一個使用預先處理語句的好處是：如果你在同一次資料庫連接會話中執行同樣的語句許多次，它將只被解析一次，這可以提升一點執行速度。 如果你想問插入該如何做，請看下面這個例子（使用PDO）：

複製代碼 代碼如下:$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute(array('column' => $unsafeValue));

希望本文所述對大家的PHP程式設計有所協助。

PHP中怎防止SQL注入

我把問題和贊同最多的答題翻譯了下來。提問：如果使用者的輸入能直接插入到SQL語句中，那麼這個應用就易收到SQL注入的攻擊，舉個例子：$unsafe_variable = $_POST['user_input']; mysqli_query("INSERT INTO table (column) VALUES ('" . $unsafe_variable . "')");使用者可以輸入諸如 ： value'); DROP TABLE table;-- ,SQL語句就變成這樣了:INSERT INTO table (column) VALUES('value'); DROP TABLE table;--')(譯者註：這樣做的結果就是把table表給刪掉了) 我們可以做什麼去阻止這種情況呢？回答：使用prepared statements（預先處理語句）和參數化的查詢。這些SQL語句被發送到資料庫伺服器，它的參數全都會被單獨解析。使用這種方式，攻擊者想注入惡意的SQL是不可能的。要實現這個主要有兩種方式：1. 使用 PDO：$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name'); $stmt->execute(array(':name' => $name)); foreach ($stmt as $row) { // do something with $row }2. 使用 Mysqli：$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?'); $stmt->bind_param('s', $name); $stmt->execute(); $result = $stmt->get_result(); while ($row = $result->fetch_assoc()) { // do something with $row }PDO需要注意的是使用PDO去訪問MySQL資料庫時，真正的prepared statements預設情況下是不使用的。為瞭解決這個問題，你需要禁用類比的prepared statements。下面是使用PDO建立一個串連的例子：$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass'); $dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); $dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);上面的例子中，錯誤報表模式並不是強制和必須的，但建議你還是添加它。通過這種方式，指令碼在出問題的時候不會被一個致命錯誤終止，而是拋出PDO Exceptions，這就給了開發人員機會去捕獲這個錯誤。然而第一行的 setAttribute() 是強制性的，它使得PDO禁用類比的prepared......餘下全文>>
 

php中防止SQL注入的最好方法是什?

如果使用者輸入的是直接插入到一個SQL語句中的查詢，應用程式會很容易受到SQL注入，例如下面的例子:$unsafe_variable = $_POST['user_input']; mysql_query("INSERT INTO table (column) VALUES ('" . $unsafe_variable . "')"); 這是因為使用者可以輸入類似VALUE“）; DROP TABLE表; - ，使查詢變成：使用預備義語句和參數化查詢。對於帶有任何參數的sql語句都會被發送到資料庫伺服器，並被解析！對於攻擊者想要惡意注入sql是不可能的！實現這一目標基本上有兩種選擇：1.使用PDO(PHP Data Objects )：$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name'); $stmt->execute(array(':name' => $name)); foreach ($stmt as $row) { // do something with $row }2.使用mysqli:$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?'); $stmt->bind_param('s', $name); $stmt->execute(); $result = $stmt->get_result(); while ($row = $result->fetch_assoc()) { // do something with $row }PDO(PHP資料對象) 注意當使用PDO訪問MySQL資料庫真正的預備義語句並不是預設使用的！為瞭解決這個問題，你必須禁用模擬準備好的語句。使用PDO建立串連的例子如下：$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass'); $dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); $dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);在上面例子中錯誤模式ERRMODE不是嚴格必須的，但是建議添加它。當運行出錯產生致命錯誤時，這種方法指令碼不會停止。並給開發人員捕捉任何錯誤的機會（當拋出PDOException異常時）。setAttribute()那一行是強制性的，它告訴PDO禁用模擬預備義語句，使用真正的預備義語句。這可以確保語句和值在發送給MySQL資料庫伺服器前不被PHP解析(攻擊者沒有機會注入惡意的SQL).當然你可以在建構函式選項中設定字元集參數，特別注意'老'的PHP版本（5.3.6）會在DSN中忽略掉字元集參數。這裡最重要的是，該參數值是和先行編譯的語句結合的，而不是和一個SQL字串.SQL注入的工作原理是通過欺騙手段建立的SQL指令碼包括惡意字串發......餘下全文>>
 

http://www.bkjia.com/PHPjc/898285.htmlwww.bkjia.comtruehttp://www.bkjia.com/PHPjc/898285.htmlTechArticlePHP中怎樣防止SQL注入分析，php防止sql注入 本文執行個體分析了PHP中怎樣防止SQL注入。分享給大家供大家參考。具體分析如下： 一、問題描述：...

