PDO预处理语句规避SQL注入攻击

最新推荐文章于 2024-07-06 10:05:27 发布
最新推荐文章于 2024-07-06 10:05:27 发布
阅读量85 收藏
点赞数
文章标签： php 数据库
原文链接：http://www.cnblogs.com/benpaodegegen/p/6495209.html
版权

 

PDO预处理语句规避SQL注入攻击

  所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造(或者影响)动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。

第一种方法

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
<?php
$dsn  =  "mysql:dbname=study;host=localhost" ;
$pdo  =  new  PDO( $dsn , "root" , "root" );
 
//写一个预处理语句
$sql  =  "insert into class values(?,?)" ;
//将预处理语句扔到服务器等待执行，返回PDOStatement对象
$stm  =  $pdo ->prepare( $sql );
//第二次将变量（参数）扔到服务器的SQL语句相应位置，给预处理语句绑定参数
$stm ->bindParam(1, $Sclass );
$stm ->bindParam(2, $cla );
$Sclass   =  "7" ;
$cla  =  "七班" ;
//执行
$stm ->execute();

　　

第一种方法简写

1
2
3
4
5
6
7
8
9
10
11
12
<?php
$dsn  =  "mysql:dbname=study;host=localhost" ;
$pdo  =  new  PDO( $dsn , "root" , "root" );
 
//写一个预处理语句
$sql  =  "insert into class values(?,?)" ;
//将预处理语句扔到服务器等待执行，返回PDOStatement对象
$stm  =  $pdo ->prepare( $sql );
//定义索引数组
$arr  =  array ( "8" , "八班" );
//执行
$stm ->execute( $arr );

　　

第二种方法

1
2
3
4
5
6
7
8
9
10
11
12
<?php
$dsn  =  "mysql:dbname=study;host=localhost" ;
$pdo  =  new  PDO( $dsn , "root" , "root" );
//预处理语句
$sql  =  "insert into class VALUES (:Sclass,:cla)" ;
$stm  =  $pdo ->prepare( $sql );
 
//造一个数组
$arr  =  array ( "Sclass" => "10" , "cla" => "十班" );
 
//执行
$stm ->execute( $arr );

　　

 

举例，第二种情况简单，建议应用第二种方法

1
2
3
4
5
6
7
8
<body xmlns= "http://www.w3.org/1999/html" >
<h1>添加数据</h1>
<form action= "pdoycl5.php"  method= "post" />
<div>代号：<input type= "text"  name= "Sclass" > </div>
<div>班级：<input type= "text"  name= "cla" > </div>
<input type= "submit"  value= "添加" >
</form>
</body>

　　

1
2
3
4
5
6
7
8
<?php
$dsn  =  "mysql:dbname=study;host=localhost" ;
$pdo  =  new  PDO( $dsn , "root" , "root" );
//预处理语句
$sql  =  "insert into class VALUES (:Sclass,:cla)" ;
$stm  =  $pdo ->prepare( $sql );
//执行
$stm ->execute( $_POST );

　

转载于:https://www.cnblogs.com/benpaodegegen/p/6495209.html

weixin_30617695
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
mysql注入攻击与防御word_sql注入以及防范
weixin_28707535的博客
02-19 188
登陆验证注入://万能用户名失效//万能密码 xx' or 1='1//万能用户名 xxx' union select * from users/*$sql="select * from users where username='$username' and password='$password'";//万能密码 33 union select * from users//万能用户名 89 u...
php_pdo 预处理语句详解
01-21
这篇文章主要介绍的是关于php_pdo 预处理语句，下面话不多说，我们来看看详细的内容。 一、预处理语句可以带来两大好处： 1、查询仅需解析（或预处理）一次，但可以用相同或不同的参数执行多次。当查询准备好后，...
pdo mysql操作语句_数据库操作类（PDO）-SQL语句操作
weixin_28857713的博客
02-04 346
# SQL操作## DDL ，DML操作用exec()方法，返回受影响的行数## 执行DQL语句 用query方法 返回PDOStatement对象# PDOStatement对象## rowCount()方法返回行数## fetch()方法返回结果集的一行【一维数组】并指针下移### fetch()方法的参数#### PDO::FETCH_ASSOC:返回关联数组#### PDO::FETCH...
mysql pdo execute_PDOStatement::execute
weixin_34378986的博客
01-27 315
PDOStatement::executePDOStatement::execute — 执行一条预处理语句(PHP 5 >= 5.1.0, PECL pdo >= 0.1.0)说明语法bool PDOStatement::execute ([ array $input_parameters ] )执行预处理过的语句。如果预处理过的语句含有参数标记，必须选择下面其中一种做法：调用或传递...
MySQL之使用预处理对象PreparedStatement防止注入攻击
绣花针
06-17 686
通过预处理对象PreparedStatement，对SQL语句中参数列表进行指定传参，防止用户在SQL语句结尾上添加额外的SQL语句
为什么PDO预处理可以防御sql注入？
这个人很懒，没有描述。
10-01 287
预处理是一种防止 SQL 注入攻击的有效方法，因为它可以在将参数传递给 SQL 查询之前，将输入参数转义为安全格式。这是通过将 SQL 查询和输入参数分开处理实现的。攻击者可以通过将在这个例子中，?字符是占位符，代表输入参数。在执行查询之前，我们将用户名和密码绑定到查询上，而不是将它们作为字符串粘贴到查询中。这样，即使攻击者在输入中添加了恶意代码，它也不会影响查询的安全性。
PDO预处理是如何防止SQL注入的
y0un9er
05-13 2057
通过日志分析PDO是如何防止SQL注入的
PDO预处理防御SQL注入
路虽远，行将至。事虽难，做必达。
04-07 6350
PDO可以被认作是一种通过编译SQL语句模板来运行SQL语句的机制。 查询仅需解析（或预处理）一次，但可以用相同或不同的参数执行多次。当查询准备好后，数据库将分析、编译和优化执行该查询的计划。对于复杂的查询，此过程要花费较长的时间，如果需要以不同参数多次重复相同的查询，那么该过程将大大降低应用程序的速度。通过使用预处理语句，可以避免重复分析/编译/优化周期。简言之，预处理语句占用更少的资源，因而运行得更快。 提供给预处理语句的参数不需要用引号括起来，驱动程序会自动处理。如果应用程序只使用预处理语句，可以
php预处理语句,php_pdo 预处理语句详解
weixin_33230433的博客
03-10 516
这篇文章主要介绍的是关于php_pdo 预处理语句，下面话不多说，我们来看看详细的内容。一、预处理语句可以带来两大好处：1、查询仅需解析(或预处理)一次，但可以用相同或不同的参数执行多次。当查询准备好后，数据库将分析、编译和优化执行该查询的计划。对于复杂的查询，此过程要花费较长的时间，如果需要以不同参数多次重复相同的查询，那么该过程将大大降低应用程序的速度。通过使用预处理语句，可以避免重复分析/编...
PHP的PDO预处理语句与存储过程
01-20
PHP PDO 预处理语句与存储过程 很多更成熟的数据库都支持预处理语句的概念。 什么是预处理语句？可以把它看作是想要运行的 SQL 的一种编译过的模板，它可以使用变量参数进行定制。预处理语句可以带来两大好处： ...
PDO预处理语句PDOStatement对象使用总结
12-19
PDO对预处理语句的支持需要使用PDOStatement类对象，但该类对象并不是通过NEW关键字实例化出来的，而是通过PDO对象中的prepare()方法，在数据库服务器中准备好一个预处理的SQL语句后直接返回的。如果通过之前执行PDO...
使用PDO防sql注入的原理分析
09-09
PDO提供了一种安全的方式来执行SQL查询，通过预处理语句和绑定参数，有效地防止了SQL注入。 描述中提到，PDO的预处理语句是防止SQL注入的关键。预处理语句在执行之前会被解析和编译，参数则在执行时动态插入，这...
PHP与SQL注入攻击[二]
10-30
总的来说，防止SQL注入需要结合多种策略，包括但不限于：使用预处理语句（如PHP的PDO或MySQLi的预处理功能）、对用户输入进行过滤和验证、以及使用适当的函数对特殊字符和二进制数据进行转义或编码。同时，保持代码...
实战某大型连锁企业域渗透
Ms08067安全实验室
07-04 963
点击星标，即时接收最新推文本文选自《内网安全攻防：红队之路》扫描二维码五折购书实战域渗透测试流程对黑客来说，拿下域控制器是终极目标。然而攻击者空间是如何通过采取信息收集、权限提升、横向移动等一系列手段，从而一步步拿下域控制器的呢？本次将从一张拓扑图开始，和大家一起梳理域的相关知识，并串联内网的各类攻击技术。实验环境概述 下图是一张某公司（虚构名：北京test公司）的网络拓扑示意图。该公司员工...
php header函数使用无效怎么解决
滴水石穿
07-03 168
如果使用PHP header函数时发生无效的情况，可能有几种可能的原因和解决方法： 1、确保在调用header函数之前没有输出任何内容。header函数必须在任何输出之前调用，包括HTML标记、空格、换行符等。 2、确保没有使用BOM（Byte Order Mark）标记。BOM是一种在UTF-8编码中用于标识文件开头的特殊字符序列，它会导致header函数无效。可以使用文本编辑器将文件另存为UTF-8无BOM格式。 注意：在某些情况下，BOM会导致PHP session无法正常工作，因为session数据
如何用Java写一个整理Java方法调用关系网络的程序
最新发布
qq_42349895的博客
07-06 637
最近遇到了一个问题，大致是这样的：如果给你一个 java 方法，如何找到有哪些菜单在使用。我的第一想法是，这不很简单吗？！使用 IDEA 自带的右键 Find Usage 功能，一步一步往上溯源最终找到 Controller 中的方法，找到 requestMapping 的映射路径，然后去数据库一查便知。
如何在多个服务器上安装WordPress分布式部署
吾店建站
07-04 631
许多网络主机现在保证其服务的正常运行时间为 99.9%，但这仍然每年最多有 8.7 小时的停机时间。许多公司不能够承担这种风险。例如。在超级碗比赛中失败的体育新闻网站可能会失去忠实的追随者。我们通过设置维护高可用性 WordPress分布式部署配置来帮助 WordPress 网站主防止此类灾难性故障。今天我们将介绍我们的支持工程师如何设置 WordPress 多服务器。
Symfony实战手册：PHP框架的高级应用技巧
weixin_41859354的博客
07-02 445
Symfony框架的高级应用技巧涵盖了上述多个方面，通过深入理解和有效应用这些技术，开发人员可以构建出性能优异、安全可靠且易于维护的Web应用程序。继续学习和实践这些技术，将帮助开发人员在Symfony项目中取得更大的成功和成就。
PDO预处理能防止SQL注入吗
06-02
是的，PDO预处理可以有效地防止SQL注入。预处理是一种在执行SQL语句之前先将SQL语句和参数分离的机制...因此，PDO预处理是一种能够有效防止SQL注入攻击的方法，建议在使用PDO连接数据库时，优先选择使用PDO预处理语句。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值