php sql注入 如何防止,PHP中如何防止SQL注入攻击

如果用户输入的内容直接插入到SQL查询语句中，应用程序容易受到SQL注入攻击，就像下面的例子：

$unsafe_variable = $_POST['user_input'];

mysql_query("INSERT INTO table (column) VALUES ('" . $unsafe_variable . "')");

因为用户可以输入：value'); DROP TABLE table;--,查询语句变为：

INSERT INTO table (column) VALUES('value'); DROP TABLE table;--')

那该如何防范呢？

我们需要采用预处理语句和参数化查询。SQL语句由数据库服务器根据参数解析，这种方式使攻击者无法生成恶意的SQL命令。

方式有两种：

1. 使用PDO

$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');

$stmt->execute(array(':name' => $name));

foreach ($stmt as $row) {

// do something with $row

}

2. 使用mysqli

2.1 例子1

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');

$stmt->bind_param('s', $name);

$stmt->execute();

$result = $stmt->get_result();

while ($row = $result->fetch_assoc()) {

// do something with $row

}

2.2 例子2

$mysqli = new mysqli("server", "username", "password", "database_name");

// TODO - 检查连接是否成功

$unsafe_variable = $_POST["user-input"];

$stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");

// TODO 检查 $stmt 创建成功

// "s" means the database expects a string

$stmt->bind_param("s", $unsafe_variable);

$stmt->execute();

$stmt->close();

$mysqli->close();

?>

PDO

需要注意的是，当使用PDO访问MySQL数据库，真正的预处理语句并未使用，为了解决这个问题，你必须禁止仿真预处理语句，下面是一个创建PDO连接的例子：

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

上面的代码中，错误模式的设置并不是必须的，但还是建议加上它。这样脚本遇到错误不会停止，给开发者catch PDOException异常的机会。

第一行的setAttribute是必须的，它告诉PDO禁用仿真预处理，使用真正的预处理。这样确保语句在发送给MySQL服务器前没有通过PHP解析，不给攻击者注入SQL的机会。

另外，对于PHP版本小于5.3.6，我需要在连接字符串中添加charset参数。

使用预处理语句的另外一个好处是，如果你在同一会话中多次执行相同的语句，只被解析和编译一次，提高了速度。

下面再给出一个PDO例子：

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute(array(':column' => $unsafeValue));