php常用代碼

標籤：magic   connect   logs   free   nec   建立對象   exec   ret   array   

1.PHP 函數：阻止 SQL 注入 

SQL 注入或者 SQLi 常見的攻擊網站的手段，使用下面的代碼可以協助你防止

/** * 返回經addslashes處理過的字串或數組 * @param $string 需要處理的字串或數組 * @return mixed */function new_addslashes($string){    if(!is_array($string)) return addslashes($string);    foreach($string as $key => $val) $string[$key] = new_addslashes($val);    return $string;}/** * 返回經stripslashes處理過的字串或數組 * @param $string 需要處理的字串或數組 * @return mixed */function new_stripslashes($string) {    if(!is_array($string)) return stripslashes($string);    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);    return $string;}/** * 返回經htmlspecialchars處理過的字串或數組 * @param $obj 需要處理的字串或數組 * @return mixed */function new_html_special_chars($string) {    $encoding = ‘utf-8‘;    if(strtolower(CHARSET)==‘gbk‘) $encoding = ‘ISO-8859-15‘;    if(!is_array($string)) return htmlspecialchars($string,ENT_QUOTES,$encoding);    foreach($string as $key => $val) $string[$key] = new_html_special_chars($val);    return $string;}

對使用者輸入的資料做轉義：

if (!get_magic_quotes_gpc()) {          $search=new_addslashes($search);

 ｝

輸出做stripslashes,htmlspecialchars是在輸出HTML時防禦XSS攻擊的,區別於上面說的防禦SQL注入

 

2.用php執行個體進行mysqli資料庫連接

使用方法一：使用傳統的面向過程的方法 
php代碼如下：

<?php $connect = mysqli_connect(‘localhost‘,‘root‘,‘‘,‘volunteer‘) or die(‘Unale to connect‘); $sql = "select * from vol_msg"; $result = mysqli_query($connect,$sql); while($row = mysqli_fetch_row($result)){ echo $row[0]; } ?> 

使用方法二：使用物件導向的方法調用介面（推薦使用） 
看php代碼如下： 

<?php //建立對象並開啟串連，最後一個參數是選擇的資料庫名稱 $db= new mysqli(‘localhost‘,‘root‘,‘‘,‘volunteer‘); //檢查串連是否成功 if (mysqli_connect_errno()){ //注意mysqli_connect_error()新特性 die(‘Unable to connect!‘). mysqli_connect_error(); } $sql = "select * from vol_msg"; //執行sql語句，完全物件導向的 $result = $db->query($sql);
$num_results=$result->num_rows;
echo ‘共有‘.$num_results.‘條記錄‘while($row = $result->fetch_array()){ echo $row[0];
}

$result->free();
$db->close(); ?> 

以上兩個php執行個體啟動並執行結果完全相同，可以清楚的看到使用mysqli類對象構建資料庫連接的優勢！ 
插入和修改記錄我就不用講了，只要更改一下sql語句就行！

防禦SQL注入(輸入資料庫):
PDO bindParam 或 mysqli_stmt_bind_param: 避免SQL注入.
addslashes: 用反斜線轉義所有的單引號,雙引號,反斜線和NUL‘s,一定程度上避免SQL注入.
mysqli_real_escape_string: 轉義SQL語句中的特殊字元.
有了bind_param,就不需要使用addslashes,mysqli_real_escape_string,magic_quotes_gpc這些功能了.
比如:

PDO MySQL://方法1(問號預留位置)$stmt = $db->prepare(‘UPDATE posts SET post_title = ?, post_content = ? WHERE id = ?‘);$stmt->execute(array($title,$content,$id)); //所有值視作PDO::PARAM_STR處理//方法2(命名預留位置)$stmt = $db->prepare(‘UPDATE posts SET post_title = :title, post_content = :content WHERE id = :id‘);$stmt->execute(array(‘:title‘ => $title,‘:content‘ => $content,‘:id‘ => $id)); //所有值視作PDO::PARAM_STR處理//方法3$stmt = $db->prepare(‘UPDATE posts SET post_title = ?, post_content = ? WHERE id = ?‘);$stmt->bindParam(1, $title,   PDO::PARAM_STR);$stmt->bindParam(2, $content, PDO::PARAM_STR);$stmt->bindParam(3, $id,      PDO::PARAM_INT);$stmt->execute();//方法4$stmt = $db->prepare(‘UPDATE posts SET post_title = :title, post_content = :content WHERE id = :id‘);$stmt->bindParam(‘:title‘,   $title,   PDO::PARAM_STR);$stmt->bindParam(‘:content‘, $content, PDO::PARAM_STR);$stmt->bindParam(‘:id‘,      $id,      PDO::PARAM_INT);$stmt->execute();MySQLi://MySQLi只需執行一次bind_param,要比PDO簡潔一些,MySQLi不支援命名預留位置.$stmt->bind_param(‘ssi‘, $title, $content, $id);

 

php常用代碼