php防止sql注入的函數介紹

來源:互聯網
上載者:User

   具體用法

  addslashes防止SQL注入

  雖然國內很多PHP程式員仍在依靠addslashes防止SQL注入,還是建議大家加強中文防止SQL注入的檢查。addslashes的問題在 於駭客 可以用0xbf27來代替單引號,而addslashes只是將0xbf27修改為0xbf5c27,成為一個有效多位元組字元,其中的0xbf5c仍會 被看作是單引號,所以addslashes無法成功攔截。

  當然addslashes也不是毫無用處,它是用於單位元組字串的處理,多位元組字元還是用mysql_real_escape_string吧。

  另外對於php手冊中get_magic_quotes_gpc的

  舉例:

代碼如下  


<?php
function post_check($post)
{
if (!get_magic_quotes_gpc()) // 判斷magic_quotes_gpc是否為開啟
{
$post = addslashes($post); // 進行magic_quotes_gpc沒有開啟的情況對提交資料的過濾
}
$post = str_replace("_", "_", $post); // 把 '_'過濾掉
$post = str_replace("%", "%", $post); // 把' % '過濾掉
$post = nl2br($post); // 斷行符號轉換
$post= htmlspecialchars($post); // html標記轉換
return $post;
}
?>

<?php
function inject_check($sql_str)
{
return eregi('select|insert|update|delete|'|
function verify_id($id=null)
{
if (!$id) { exit('沒有提交參數!'); } // 是否為空白判斷
elseif (inject_check($id)) { exit('提交的參數非法!'); } // 注射判斷
elseif (!is_numeric($id)) { exit('提交的參數非法!'); } // 數字判斷
$id = intval($id); // 整型化
return $id;
}
?>

  string mysql_real_escape_string ( string $unescaped_string [, resource $link_identifier ] )

  本函數將 unescaped_string 中的特殊字元轉義,並計及串連的當前字元集,因此可以安全用於 mysql_query()。

  Note: mysql_real_escape_string() 並不轉義 % 和 _。

  mysql_real_escape_string

  Example#1 mysql_real_escape_string() 例子

代碼如下  

<?php
$item = "Zak's and Derick's Laptop" ;
$escaped_item = mysql_real_escape_string ( $item );
printf ( "Escaped string: %sn" , $escaped_item );
?>

以上例子將產生如下輸出:

Escaped string: Zak's and Derick's Laptop

  mysql_escape_string

  本函數將 unescaped_string 轉義,使之可以安全用於 mysql_query()。

  注: mysql_escape_string() 並不轉義 % 和 _。

  本函數和 mysql_real_escape_string() 完全一樣,除了 mysql_real_escape_string() 接受的是一個串連控制代碼並根據當前字元集轉移字串之外。mysql_escape_string() 並不接受串連參數,也不管當前字元集設定。

  例子 1. mysql_escape_string() 例子

代碼如下  

<?php
$item = "Zak's Laptop";
$escaped_item = mysql_escape_string($item);
printf ("Escaped string: %sn", $escaped_item);
?>
輸出:
Escaped string: Zak's Laptop

  mysql_real_escape_string和mysql_escape_string這2個函數的區別:

  mysql_real_escape_string 必須在(PHP 4 >= 4.3.0, PHP 5)的情況下才能使用。否則只能用 mysql_escape_string ,兩者的區別是:mysql_real_escape_string 考慮到串連的當前字元集,而mysql_escape_string 不考慮。

  我們可以利用判斷來綜合處理

代碼如下  
function cleanuserinput($dirty){
if (get_magic_quotes_gpc()) {
$clean = mysql_real_escape_string(stripslashes($dirty));
}else{
$clean = mysql_real_escape_string($dirty);
}
return $clean;
}

  總結一下:

  * addslashes() 是強行加;

  * mysql_real_escape_string() 會判斷字元集,但是對PHP版本有要求;

  * mysql_escape_string不考慮串連的當前字元集。

相關文章

Beyond APAC's No.1 Cloud

19.6% IaaS Market Share in Asia Pacific - Gartner IT Service report, 2018

Learn more >

Apsara Conference 2019

The Rise of Data Intelligence, September 25th - 27th, Hangzhou, China

Learn more >

Alibaba Cloud Free Trial

Learn and experience the power of Alibaba Cloud with a free trial worth $300-1200 USD

Learn more >

聯繫我們

該頁面正文內容均來源於網絡整理,並不代表阿里雲官方的觀點,該頁面所提到的產品和服務也與阿里云無關,如果該頁面內容對您造成了困擾,歡迎寫郵件給我們,收到郵件我們將在5個工作日內處理。

如果您發現本社區中有涉嫌抄襲的內容,歡迎發送郵件至: info-contact@alibabacloud.com 進行舉報並提供相關證據,工作人員會在 5 個工作天內聯絡您,一經查實,本站將立刻刪除涉嫌侵權內容。