pdo通过预处理语句防止sql注入

最新推荐文章于 2024-06-20 20:49:37 发布

云影杳杳

最新推荐文章于 2024-06-20 20:49:37 发布

阅读量4.5k

点赞数 1

分类专栏： php pdo 文章标签： php pdo预处理语句防sql注入 php pdo连接数据库 sql注入 php pdo预处理语句 pdo预处理语句占位符的使用

本文链接：https://blog.csdn.net/zdy121314/article/details/53341410

版权

php pdo 专栏收录该内容

1 篇文章 0 订阅

订阅专栏

本文会通过一个简单的登录验证来演示通过预处理语句防注入。

数据库：test；

创建表：

CREATE TABLE USER(
id INT UNSIGNED AUTO_INCREMENT KEY,
username VARCHAR(20) NOT NULL,
password CHAR(32) NOT NULL,
email CHAR(32) NOT NULL
);

向表中插入一条数据：

INSERT INTO user(username,password,email) VALUES('baby','baby','444@qq.com');

登入界面：

<!DOCTYPE html>
<html lang="en">
<head>
	<meta charset="UTF-8">
	<title>login</title>
</head>
<body>
	<form action="check.php" method="post" accept-charset="utf-8">
		用户名 <input type="text" name="username"><br>
		密 码 <input type="password" name="psw"><br>
		<input type="submit"value="提交">
	</form>
</body>
</html>

1.首先先正常编写check.php页面，不做任何处理。

<?php
header('content-type:text/html;charset=utf-8');
$username=$_POST['username'];
$psw=$_POST['psw'];
try {
$pdo=new PDO('mysql:host=localhost;dbname=test','root','root');
$sql="select * from user where username='{$username}' and password='{$psw}'";
$stmt=$pdo->query($sql);
//返回结果集中的行数
echo $stmt->rowCount();
} catch (Exception $e) {
echo $e->getMessage();
}
?>

输入正确的用户名：baby 密码：baby 结果：1 （因为查询到一条记录通过echo rowCount()输出）

输入错误的用户名或密码结果：0

输入注入语句用户名：'or 1=1 # 密码：随便写结果：1

2.更换为预处理语句（占位符）

<?php
header('content-type:text/html;charset=utf-8');
$username=$_POST['username'];
$psw=$_POST['psw'];
	try {
		$pdo=new PDO('mysql:host=localhost;dbname=test','root','root');
		$sql="select * from user where username=:username and password=:psw";
		$stmt=$pdo->prepare($sql);
		$stmt->execute(array(":username"=>$username,":psw"=>$psw));
		echo $stmt->rowCount();
	} catch (Exception $e) {
		echo $e->getMessage();
	}
?>

或

<?php
header('content-type:text/html;charset=utf-8');
$username=$_POST['username'];
$psw=$_POST['psw'];
	try {
		$pdo=new PDO('mysql:host=localhost;dbname=test','root','root');
		$sql="select * from user where username=? and password=?";
		$stmt=$pdo->prepare($sql);
		$stmt->execute(array($username,$psw));
		echo $stmt->rowCount();
	} catch (Exception $e) {
		echo $e->getMessage();
	}
?>

输入注入语句用户名：'or 1=1 # 密码：随便写结果：0 说明已经无法注入。

完

若有不对，望指正。

云影杳杳

关注

1
点赞
踩
5

收藏

觉得还不错? 一键收藏
1
评论
pdo通过预处理语句防止sql注入

本文会通过一个简单的登录验证来演示通过预处理语句防注入。数据库：test；创建表：CREATE TABLE USER( id INT UNSIGNED AUTO_INCREMENT KEY, username VARCHAR(20) NOT NULL, password CHAR(20) NOT NULL, email CHAR(20) NOT NULL);向表中插入一条数据：INS
复制链接

扫一扫

专栏目录