PHP和Mysql登入功能防止SQL注入

最近在瞭解SQL注入，發現很多人登入功能都是同時使用使用者輸入的username和password，組合到一條sql語句裡面，查詢判斷有無結果來判定是否可登入。例如下面：

1. <?php  $username = $_POST['username'];  $password = $_POST['password'];  $sql = "select * from user where username='{$username}' and password='{$password}' ";  $this->db->query($sql);

這樣很容易在 username參數加入 ‘ or 1=1 -- 注入，雖然這隻是樣本，但現在很多使用架構，一不注意，最終組合成的語句也是類似這樣的。這裡不說輸入參數過濾、參數綁定，文法分析等常用辦法去應對SQL注入，我們可以轉變一下判斷方法：

1. <?php  $username = $_POST['username'];  $password = $_POST['password'];  $sql = "select * from user where username='{$username}' ";  $data = $this->db->query($sql);    ......    if($data['password'] == $password){      //密碼OK  }else{      //密碼錯誤  }

這樣先查到資料，再用php本身來判斷是否匹配密碼，是不是解決了問題了？

相關推薦：

推薦10個防止sql注入方法