php应对sql注入数据库处理

目录

前言

简单处理

1. 使用预处理语句（Prepared Statements）

例子：

1.使用PDO（PHP Data Objects）

2.使用MySQLi：

2. 参数化查询

例子：

1.使用PDO进行参数化查询

2.使用MySQLi进行参数化查询

3. 过滤输入

例子：

1. 过滤和验证邮箱地址

2. 过滤整数

3. 过滤URL

4. 使用过滤器清洗数组

4. 转义特殊字符

例子：

---

前言

在PHP中防止SQL注入的主要策略包括使用预处理语句（Prepared Statements）、参数化查询、过滤输入和转义特殊字符等。

简单处理

1. 使用预处理语句（Prepared Statements）

预处理语句不仅可以提高性能，还可以避免SQL注入。在使用预处理语句时，SQL命令在发送到数据库之前就已经被编译了，这意味着后续只需传递参数，而不是重新编译整个SQL命令。这样可以有效防止SQL注入，因为用户的输入不会被当做SQL命令的一部分来解析。

例子：

1.使用PDO（PHP Data Objects）

<?php
$pdo = new PDO('mysql:host=example.com;dbname=database', 'user', 'password');

// 使用预处理语句
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');

// 绑定参数并执行
$stmt->execute(['email' => $email]);

// 获取结果
$user = $stmt->fetch();
?>

2.使用MySQLi：

<?php
$mysqli = new mysqli('example.com', 'user', 'password', 'database');

// 使用预处理语句
$stmt = $mysqli->prepare('SELECT * FROM users WHERE email = ?');

// 绑定参数并执行
$stmt->bind_param('s', $email);
$stmt->execute();

// 获取结果
$result = $stmt->get_result();
$user = $result->fetch_assoc();
?>

2. 参数化查询

参数化查询是预处理语句的一部分，它允许你将SQL语句从数据分开。你在SQL查询中使用占位符代替直接插入的数据，然后绑定具体的值到这些占位符。

例子：

1.使用PDO进行参数化查询

假设我们有一个名为users的数据库表，我们想要查询特定email的用户信息。

<?php
// 数据库连接信息
$host = 'localhost';
$dbname = 'test_db';
$user = 'root';
$pass = '';

try {
    // 创建PDO实例
    $pdo = new PDO("mysql:host=$host;dbname=$dbname", $user, $pass);
    
    // 设置错误模式为异常
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 准备SQL语句
    $sql = 'SELECT * FROM users WHERE email = :email';

    // 准备语句
    $stmt = $pdo->prepare($sql);

    // 绑定参数
    $email = 'user@example.com';
    $stmt->bindParam(':email', $email);

    // 执行查询
    $stmt->execute();

    // 获取查询结果
    while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
        // 处理每一行
        echo $row['name'] . "\n"; // 假设有一个'name'字段
    }
} catch (PDOException $e) {
    echo '数据库错误: ' . $e->getMessage();
}
?>

2.使用MySQLi进行参数化查询

同样的例子，如果你使用的是MySQLi扩展：

<?php
// 数据库连接信息
$host = 'localhost';
$user = 'root';
$pass = '';
$dbname = 'test_db';

// 创建连接
$mysqli = new mysqli($host, $user, $pass, $dbname);

// 检查连接
if ($mysqli->connect_error) {
    die("连接失败: " . $mysqli->connect_error);
}

// 准备SQL语句
$sql = 'SELECT * FROM users WHERE email = ?';

// 准备语句
$stmt = $mysqli->prepare($sql);

// 绑定参数
$email = 'user@example.com';
$stmt->bind_param('s', $email);

// 执行查询
$stmt->execute();

// 绑定结果变量
$stmt->bind_result($id, $name, $userEmail); // 假设表中有id, name, email字段

// 获取值
while ($stmt->fetch()) {
    echo $name . "\n"; // 输出用户名称
}

// 关闭语句
$stmt->close();

// 关闭连接
$mysqli->close();
?>

通过使用占位符（在PDO中是:后跟参数名，在MySQLi中是?），我们将数据与SQL语句分离，这样用户的输入就不会被解析为SQL命令的一部分，从而避免了SQL注入的风险。

3. 过滤输入

在将用户输入用于数据库查询之前，先验证和清理输入是非常重要的。你可以使用PHP的过滤函数如filter_var()来清理输入数据。

<?php
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);

if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    // $email 是有效的邮箱地址
} else {
    // $email 不是有效的邮箱地址
}
?>

例子：

1. 过滤和验证邮箱地址

使用filter_var()函数和FILTER_VALIDATE_EMAIL过滤器来验证邮箱地址是否有效。

<?php
$email = $_POST['email']; // 假设从表单获取邮箱地址
$clean_email = filter_var($email, FILTER_SANITIZE_EMAIL); // 清理邮箱地址

if (filter_var($clean_email, FILTER_VALIDATE_EMAIL)) {
    echo "邮箱地址 '$clean_email' 是有效的。";
} else {
    echo "邮箱地址 '$clean_email' 是无效的。";
}
?>

2. 过滤整数

过滤并验证输入是否为整数。

<?php
$age = $_POST['age']; // 假设从表单获取年龄
$clean_age = filter_var($age, FILTER_SANITIZE_NUMBER_INT); // 清理年龄数据，移除所有非数字字符

if (filter_var($clean_age, FILTER_VALIDATE_INT) !== false) {
    echo "年龄 '$clean_age' 是有效的整数。";
} else {
    echo "年龄 '$clean_age' 是无效的。";
}
?>

3. 过滤URL

验证并清理URL，确保它是有效的。

<?php
$url = $_POST['website']; // 假设从表单获取网址
$clean_url = filter_var($url, FILTER_SANITIZE_URL); // 清理URL

if (filter_var($clean_url, FILTER_VALIDATE_URL)) {
    echo "URL '$clean_url' 是有效的。";
} else {
    echo "URL '$clean_url' 是无效的。";
}
?>

4. 使用过滤器清洗数组

当你有一个数组的数据需要过滤时，可以使用filter_input_array()或filter_var_array()。

<?php
$data = [
    'name' => $_POST['name'],
    'age' => $_POST['age'],
    'email' => $_POST['email']
];

$args = [
    'name' => FILTER_SANITIZE_STRING,
    'age' => [
        'filter' => FILTER_VALIDATE_INT,
        'options' => ['min_range' => 1, 'max_range' => 120]
    ],
    'email' => FILTER_VALIDATE_EMAIL
];

$clean_data = filter_var_array($data, $args);

echo "<pre>";
print_r($clean_data);
echo "</pre>";
?>

4. 转义特殊字符

如果你不使用预处理语句，确保手动转义输入数据中的特殊字符。在MySQL中，可以使用mysqli_real_escape_string()函数。

例子：

1.转义邮件中特殊字符

<?php
$email = mysqli_real_escape_string($connection, $_POST['email']);

$sql = "SELECT * FROM users WHERE email = '$email'";
?>

总结

。。。。。。