PHP防范SQL注入漏洞攻击建议

一个简单的SQL注入攻击案例 
假如有一个网站，在网站的后台数据库中保存了所有的客户数据等重要信息。假如网站登录页面的代码中有这样一条命令来读取用户信息。 

<? 
$q = "SELECT `id` FROM `users` WHERE `username`= ' " .$_GET['username']. " ' AND `password`= ' " .$_GET['password']. " ' "; 
?> 

现在有一个黑客想攻击数据库，他会尝试在此登录页面的用户名的输入框中输入代码： 
' ; SHOW TABLES; 
点击登陆键，这个页面就会显示出数据库中的所有表。如果他现在使用下面这行命令： 
'; DROP TABLE [table name]; 
这样他就把一张表删除了！ 
当然，这只是一个很简单的例子，实际的SQL注入方法比这个要复杂得多，黑客也愿意花大量的时间来不断尝试来攻击你的代码。有一些程序软件也可以自动地来不断尝试SQL注入攻击。了解了SQL注入的攻击原理后，我们来看一下如何 防范SQL注入攻击。 
防范SQL注入 - 使用mysql_real_escape_string()函数 
在数据库操作的代码中用这个函数mysql_real_escape_string()可以将代码中特殊字符过滤掉，如引号等。如下例： 

<? 
$q = "SELECT `id` FROM `users` WHERE `username`= ' " .mysql_real_escape_string( $_GET['username'] ). " ' AND `password`= ' " .mysql_real_escape_string( $_GET['password'] ). " ' "; 
?> 

php防范SQL注入 - 使用mysql_query()函数 
mysql_query()的特别是它将只执行SQL代码的第一条，而后面的并不会执行。回想在最前面的例子中，黑客通过代码来例后台执行了多条SQL命令，显示出了所有表的名称。所以mysql_query()函数可以取到进一步保护的作用。

代码： 

<? 
//connection 
$database = mysql_connect("localhost", "username","password"); 
//db selection www.jbxue.com
mysql_select_db("database", $database); 
$q = mysql_query("SELECT `id` FROM `users` WHERE `username`= ' " .mysql_real_escape_string( $_GET['username'] ). " ' AND `password`= ' " .mysql_real_escape_string( $_GET['password'] ). " ' ", $database); 
?> 

除此之外，还可以在PHP代码中判断输入值的长度，或者专门用一个函数来检查输入的值。

所以，在接受用户输入值的地方一定要做好输入内容的过滤和检查。
当然，学习和了解最新的SQL注入方式也非常重要，这样才能做到有目的的防范。
如果使用的是平台式的网站系统如Wordpress，要注意及时打上官方的补丁或升级到新的版本。