php防止sql注入的函數介紹

前幾天網站給人注入了，現在我給大家來介紹php防止sql注入的幾個內建的處理函數，例如PHP的MySQL操作函數中有addslashes()、mysql_real_escape_string()、mysql_escape_string()等函數

具體用法:addslashes防止SQL注入

雖然國內很多PHP程式員仍在依靠addslashes防止SQL注入,還是建議大家加強中文防止SQL注入的檢查。addslashes的問題在 於駭客可以用0xbf27來代替單引號,而addslashes只是將0xbf27修改為0xbf5c27，成為一個有效多位元組字元,其中的0xbf5c仍會 被看作是單引號,所以addslashes無法成功攔截.

當然addslashes也不是毫無用處,它是用於單位元組字串的處理,多位元組字元還是用mysql_real_escape_string吧.

另外對於php手冊中get_magic_quotes_gpc的舉例,代碼如下:

<?php

function post_check($post)

{

if (!get_magic_quotes_gpc()) // 判斷magic_quotes_gpc是否為開啟

{

$post = addslashes($post); // 進行magic_quotes_gpc沒有開啟的情況對提交資料的過濾

}

$post = str_replace("_", "_", $post); // 把 '_'過濾掉

$post = str_replace("%", "%", $post); // 把' % '過濾掉

$post = nl2br($post); // 斷行符號轉換

$post= htmlspecialchars($post); // html標記轉換

return $post;

}//開原始碼phpfensi.com

?>

//或

<?php

function inject_check($sql_str)

{

return eregi('select|insert|update|delete|'|

function verify_id($id=null)

{

if (!$id) { exit('沒有提交參數！'); } // 是否為空白判斷

elseif (inject_check($id)) { exit('提交的參數非法！'); } // 注射判斷

elseif (!is_numeric($id)) { exit('提交的參數非法！'); } // 數字判斷

$id = intval($id); // 整型化

return $id;

}

?>

string mysql_real_escape_string ( string $unescaped_string [,resource $link_identifier ] )

本函數將 unescaped_string 中的特殊字元轉義,並計及串連的當前字元集,因此可以安全用於 mysql_query().

Note:mysql_real_escape_string() 並不轉義 % 和 _.

mysql_real_escape_string,Example#1 mysql_real_escape_string() 例子,代碼如下:

<?php

$item = "Zak's and Derick's Laptop" ;

$escaped_item = mysql_real_escape_string ( $item );

printf ( "Escaped string: %sn" , $escaped_item );

?>

//以上例子將產生如下輸出：

//Escaped string: Zak's and Derick's Laptop

mysql_escape_string

本函數將 unescaped_string 轉義,使之可以安全用於 mysql_query().

注:mysql_escape_string() 並不轉義 % 和 _,本函數和 mysql_real_escape_string() 完全一樣,除了 mysql_real_escape_string() 接受的是一個串連控制代碼並根據當前字元集轉移字串之外。mysql_escape_string() 並不接受串連參數,也不管當前字元集設定.

例子 1. mysql_escape_string() 例子,代碼如下:

<?php

$item = "Zak's Laptop";

$escaped_item = mysql_escape_string($item);

printf ("Escaped string: %sn", $escaped_item);

?>

//輸出：

//Escaped string: Zak's Laptop

mysql_real_escape_string和mysql_escape_string這2個函數的區別:

mysql_real_escape_string 必須在(PHP 4 >= 4.3.0, PHP 5)的情況下才能使用,否則只能用 mysql_escape_string,兩者的區別是:mysql_real_escape_string 考慮到串連的當前字元集,而mysql_escape_string 不考慮.

我們可以利用判斷來綜合處理,代碼如下:

function cleanuserinput($dirty){

if (get_magic_quotes_gpc()) {

$clean = mysql_real_escape_string(stripslashes($dirty));

}else{

$clean = mysql_real_escape_string($dirty);

}

return $clean;

}

總結一下:* addslashes() 是強行加；* mysql_real_escape_string() 會判斷字元集,但是對PHP版本有要求；* mysql_escape_string不考慮串連的當前字元集。

