目录
1. 使用预处理语句(Prepared Statements)
前言
在PHP中防止SQL注入的主要策略包括使用预处理语句(Prepared Statements)、参数化查询、过滤输入和转义特殊字符等。
简单处理
1. 使用预处理语句(Prepared Statements)
预处理语句不仅可以提高性能,还可以避免SQL注入。在使用预处理语句时,SQL命令在发送到数据库之前就已经被编译了,这意味着后续只需传递参数,而不是重新编译整个SQL命令。这样可以有效防止SQL注入,因为用户的输入不会被当做SQL命令的一部分来解析。
例子:
1.使用PDO(PHP Data Objects)
<?php
$pdo = new PDO('mysql:host=example.com;dbname=database', 'user', 'password');
// 使用预处理语句
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
// 绑定参数并执行
$stmt->execute(['email' => $email]);
// 获取结果
$user = $stmt->fetch();
?>
2.使用MySQLi:
<?php
$mysqli = new mysqli('example.com', 'user', 'password', 'database');
// 使用预处理语句
$stmt = $mysqli->prepare('SELECT * FROM users WHERE email = ?');
// 绑定参数并执行
$stmt->bind_param('s', $email);
$stmt->execute();
// 获取结果
$result = $stmt->get_result();
$user = $result->fetch_assoc();
?>
2. 参数化查询
参数化查询是预处理语句的一部分,它允许你将SQL语句从数据分开。你在SQL查询中使用占位符代替直接插入的数据,然后绑定具体的值到这些占位符。
例子:
1.使用PDO进行参数化查询
假设我们有一个名为users
的数据库表,我们想要查询特定email
的用户信息。
<?php
// 数据库连接信息
$host = 'localhost';
$dbname = 'test_db';
$user = 'root';
$pass = '';
try {
// 创建PDO实例
$pdo = new PDO("mysql:host=$host;dbname=$dbname", $user, $pass);
// 设置错误模式为异常
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 准备SQL语句
$sql = 'SELECT * FROM users WHERE email = :email';
// 准备语句
$stmt = $pdo->prepare($sql);
// 绑定参数
$email = 'user@example.com';
$stmt->bindParam(':email', $email);
// 执行查询
$stmt->execute();
// 获取查询结果
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
// 处理每一行
echo $row['name'] . "\n"; // 假设有一个'name'字段
}
} catch (PDOException $e) {
echo '数据库错误: ' . $e->getMessage();
}
?>
2.使用MySQLi进行参数化查询
同样的例子,如果你使用的是MySQLi扩展:
<?php
// 数据库连接信息
$host = 'localhost';
$user = 'root';
$pass = '';
$dbname = 'test_db';
// 创建连接
$mysqli = new mysqli($host, $user, $pass, $dbname);
// 检查连接
if ($mysqli->connect_error) {
die("连接失败: " . $mysqli->connect_error);
}
// 准备SQL语句
$sql = 'SELECT * FROM users WHERE email = ?';
// 准备语句
$stmt = $mysqli->prepare($sql);
// 绑定参数
$email = 'user@example.com';
$stmt->bind_param('s', $email);
// 执行查询
$stmt->execute();
// 绑定结果变量
$stmt->bind_result($id, $name, $userEmail); // 假设表中有id, name, email字段
// 获取值
while ($stmt->fetch()) {
echo $name . "\n"; // 输出用户名称
}
// 关闭语句
$stmt->close();
// 关闭连接
$mysqli->close();
?>
通过使用占位符(在PDO中是
:
后跟参数名,在MySQLi中是?
),我们将数据与SQL语句分离,这样用户的输入就不会被解析为SQL命令的一部分,从而避免了SQL注入的风险。
3. 过滤输入
在将用户输入用于数据库查询之前,先验证和清理输入是非常重要的。你可以使用PHP的过滤函数如filter_var()
来清理输入数据。
<?php
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
// $email 是有效的邮箱地址
} else {
// $email 不是有效的邮箱地址
}
?>
例子:
1. 过滤和验证邮箱地址
使用filter_var()
函数和FILTER_VALIDATE_EMAIL
过滤器来验证邮箱地址是否有效。
<?php
$email = $_POST['email']; // 假设从表单获取邮箱地址
$clean_email = filter_var($email, FILTER_SANITIZE_EMAIL); // 清理邮箱地址
if (filter_var($clean_email, FILTER_VALIDATE_EMAIL)) {
echo "邮箱地址 '$clean_email' 是有效的。";
} else {
echo "邮箱地址 '$clean_email' 是无效的。";
}
?>
2. 过滤整数
过滤并验证输入是否为整数。
<?php
$age = $_POST['age']; // 假设从表单获取年龄
$clean_age = filter_var($age, FILTER_SANITIZE_NUMBER_INT); // 清理年龄数据,移除所有非数字字符
if (filter_var($clean_age, FILTER_VALIDATE_INT) !== false) {
echo "年龄 '$clean_age' 是有效的整数。";
} else {
echo "年龄 '$clean_age' 是无效的。";
}
?>
3. 过滤URL
验证并清理URL,确保它是有效的。
<?php
$url = $_POST['website']; // 假设从表单获取网址
$clean_url = filter_var($url, FILTER_SANITIZE_URL); // 清理URL
if (filter_var($clean_url, FILTER_VALIDATE_URL)) {
echo "URL '$clean_url' 是有效的。";
} else {
echo "URL '$clean_url' 是无效的。";
}
?>
4. 使用过滤器清洗数组
当你有一个数组的数据需要过滤时,可以使用filter_input_array()
或filter_var_array()
。
<?php
$data = [
'name' => $_POST['name'],
'age' => $_POST['age'],
'email' => $_POST['email']
];
$args = [
'name' => FILTER_SANITIZE_STRING,
'age' => [
'filter' => FILTER_VALIDATE_INT,
'options' => ['min_range' => 1, 'max_range' => 120]
],
'email' => FILTER_VALIDATE_EMAIL
];
$clean_data = filter_var_array($data, $args);
echo "<pre>";
print_r($clean_data);
echo "</pre>";
?>
4. 转义特殊字符
如果你不使用预处理语句,确保手动转义输入数据中的特殊字符。在MySQL中,可以使用mysqli_real_escape_string()
函数。
例子:
1.转义邮件中特殊字符
<?php
$email = mysqli_real_escape_string($connection, $_POST['email']);
$sql = "SELECT * FROM users WHERE email = '$email'";
?>
总结
。。。。。。