SQL注入——SQL注入具体防御方案

1.GPC/RUNTIME魔术引号

magic_quotes_gpc负责对GET,POST，COOKIE的值进行过滤。

magic_quotes_runtime对从数据库或者文件中获取的数据进行过滤。

通常在开启这两个选项之后能防住部分SQL注入漏洞被利用，因为我们之前也介绍了，在某些环境下存在绕过，在INT型注入上是没有多大作用的。

通常数据污染有两种方式。

一种是应用被动接受参数，类似于GET,POST等。

还有一种是主动获取参数，类似于读取远程页面或者文件内容等。所以防止SQL注入的方法就是要守住这两条路。

2.过滤函数和类

       在PHP5.4之前，可以利用魔术引号来解决部分SQL注入的问题。而GPC在面对INT型注入时，也无法进行很好的防御。所以在通常的工作场景中，用得多的还是过滤函数和类。不过如果单纯的过滤函数写得不够严谨，也会出现绕过的情况。这时候可以使用预编译语句来绑定变量，一般情况下这是防御SQL注入的最佳方式。

常用过滤函数：