Sql语句防止注入方法

最新推荐文章于 2023-05-16 07:40:27 发布

乐杨俊

最新推荐文章于 2023-05-16 07:40:27 发布

阅读量1.5k

点赞数

分类专栏： MySQL 文章标签： Sql语句防止注入方法

本文链接：https://blog.csdn.net/leyangjun/article/details/12836825

版权

MySQL 专栏收录该内容

87 篇文章 0 订阅

订阅专栏

如果用户输入的内容直接插入到SQL查询语句中，应用程序容易受到SQL注入攻击，就像下面的例子：

$unsafe_variable = $_POST['user_input'];

mysql_query("INSERT INTO table (column) VALUES ('" . $unsafe_variable . "')");

因为用户可以输入：value'); DROP TABLE table;--,查询语句变为：

INSERT INTO table (column) VALUES('value'); DROP TABLE table;--')

那该如何防范呢？

我们需要采用预处理语句和参数化查询。SQL语句由数据库服务器根据参数解析，这种方式使攻击者无法生成恶意的SQL命令。

方式有两种：

1. 使用PDO

 
        $stmt = $pdo->prepare( 
        'SELECT * FROM employees WHERE name = :name' 
        ); 
       
        $stmt->execute(array( 
        ':name' 
         => $name)); 
       
        foreach ($stmt as $row) { 
       
        // do something with $row 
       
        }

2. 使用mysqli

2.1 例子1

 
        $stmt 
         =  
        $dbConnection 
        ->prepare( 
        'SELECT * FROM employees WHERE name = ?' 
        ); 
       
        $stmt 
        ->bind_param( 
        's' 
        ,  
        $name 
        ); 
       
        $stmt 
        ->execute(); 
       
        $result 
         =  
        $stmt 
        ->get_result(); 
       
        while 
         ( 
        $row 
         =  
        $result 
        ->fetch_assoc()) { 
       
        // do something with $row 
       
        }

2.2 例子2

 
        <?php 
       
        $mysqli =  
        new 
         mysqli( 
        "server" 
        ,  
        "username" 
        ,  
        "password" 
        ,  
        "database_name" 
        ); 
       
        // TODO - 检查连接是否成功 
       
        $unsafe_variable = $_POST[ 
        "user-input" 
        ]; 
       
        $stmt = $mysqli->prepare( 
        "INSERT INTO table (column) VALUES (?)" 
        ); 
       
        // TODO 检查 $stmt 创建成功 
       
        // "s" means the database expects a string 
       
        $stmt->bind_param( 
        "s" 
        , $unsafe_variable); 
       
        $stmt->execute(); 
       
        $stmt->close(); 
       
        $mysqli->close(); 
       
        ?>

PDO

需要注意的是，当使用PDO访问MySQL数据库，真正的预处理语句并未使用，为了解决这个问题，你必须禁止仿真预处理语句，下面是一个创建PDO连接的例子：

 
        $dbConnection 
         =  
        new 
         PDO( 
        'mysql:dbname=dbtest;host=127.0.0.1;charset=utf8' 
        ,  
        'user' 
        ,  
        'pass' 
        ); 
       
        $dbConnection 
        ->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); 
       
        $dbConnection 
        ->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

上面的代码中，错误模式的设置并不是必须的，但还是建议加上它。这样脚本遇到错误不会停止，给开发者catch PDOException异常的机会。

第一行的setAttribute是必须的，它告诉PDO禁用仿真预处理，使用真正的预处理。这样确保语句在发送给MySQL服务器前没有通过PHP解析，不给攻击者注入SQL的机会。

另外，对于PHP版本小于5.3.6，我需要在连接字符串中添加charset参数。

使用预处理语句的另外一个好处是，如果你在同一会话中多次执行相同的语句，只被解析和编译一次，提高了速度。

下面再给出一个PDO例子：

 
        $preparedStatement 
         =  
        $db 
        ->prepare( 
        'INSERT INTO table (column) VALUES (:column)' 
        ); 
       
        $preparedStatement 
        ->execute( 
        array 
        ( 
        ':column' 
         =>  
        $unsafeValue 
        ));