php如何防止sql注入,php – 如何防止SQL注入？

使用准备的语句和参数化查询。这些是与数据库服务器分开发送到任何参数并由其解析的SQL语句。这样，攻击者不可能注入恶意SQL。

你基本上有两个选择来实现这一点：

>使用PDO(对于任何支持的数据库驱动程序)：

$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');

$stmt->execute(array('name' => $name));

foreach ($stmt as $row) {

// do something with $row

}

>使用MySQLi(MySQL)：

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');

$stmt->bind_param('s', $name);

$stmt->execute();

$result = $stmt->get_result();

while ($row = $result->fetch_assoc()) {

// do something with $row

}

如果你连接到一个数据库而不是MySQL，有一个驱动程序特定的第二个选项，你可以参考(例如pg_prepare()和pg_execute()PostgreSQL)。 PDO是通用选项。

正确设置连接

注意，当使用PDO访问MySQL数据库时，默认情况下不使用实际准备的语句。要解决这个问题，你必须禁用预准备语句的仿真。使用PDO创建连接的示例是：

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

在上述示例中，错误模式不是严格必需的，但建议将其添加。这样，当出现问题时，脚本不会因致命错误而停止。并且它给予开发人员捕获作为PDOExceptions抛出的任何错误的机会。

然而，强制性的是第一个setAttribute()行，它告诉PDO禁用仿真的准备语句并使用真正准备好的语句。这确保语句和值不会被PHP解析，然后发送到MySQL服务器(给可能的攻击者没有机会注入恶意SQL)。

虽然可以在构造函数的选项中设置字符集，但请务必注意DSN中的“旧版本”PHP(< 5.3.6)silently ignored the charset parameter。

说明

发生的情况是，传递给准备的SQL语句由数据库服务器解析和编译。通过指定参数(或者一个命名参数，例如上面的例子中的name)，你可以告诉数据库引擎你要过滤的位置。然后，当调用execute时，准备的语句将与您指定的参数值组合。

这里重要的是，参数值与编译的语句组合，而不是SQL字符串。 SQL注入通过欺骗脚本包含恶意字符串，当它创建SQL发送到数据库时。因此，通过发送实际的SQL与参数分开，你限制了结束与你不打算的东西的风险。使用预准备语句时发送的任何参数都将被视为字符串(虽然数据库引擎可能会进行一些优化，因此参数可能最终也会作为数字)。在上面的例子中，如果$ name变量包含’Sarah’; DELETE FROM employees，结果只是搜索字符串“’Sarah’; DELETE FROM employees”，您将不会以an empty table结束。

使用预准备语句的另一个好处是，如果在同一个会话中多次执行相同的语句，它只会被解析和编译一次，给你一些速度增益。

哦，既然你问如何做一个插入，这里是一个例子(使用PDO)：

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute(array('column' => $unsafeValue));

准备的语句可用于动态查询吗？

虽然您仍然可以对查询参数使用准备语句，但是动态查询本身的结构不能进行参数化，并且不能对某些查询要素进行参数化。

对于这些特定情况，最好的办法是使用限制可能值的白名单过滤器。

// Value whitelist

// $dir can only be 'DESC' otherwise it will be 'ASC'

if (empty($dir) || $dir !== 'DESC') {

$dir = 'ASC';

}