电脑知识|欧美黑人一区二区三区|软件|欧美黑人一级爽快片淫片高清|系统|欧美黑人狂野猛交老妇|数据库|服务器|编程开发|网络运营|知识问答|技术教程文章 - 好吧啦网

您的位置:首頁技術(shù)文章
文章詳情頁

PHP中該怎樣防止SQL注入?

瀏覽:4日期:2022-09-14 09:04:55
問題描述:如果用戶輸入的數(shù)據(jù)在未經(jīng)處理的情況下插入到一條SQL查詢語句,那么應(yīng)用將很可能遭受到SQL注入攻擊,正如下面的例子:$unsafe_variable = $_POST[’user_input’]; mysql_query('INSERT INTO `table` (`column`) VALUES (’' . $unsafe_variable . '’)'); 因為用戶的輸入可能是這樣的:value’); DROP TABLE table;-- 那么SQL查詢將變成如下:INSERT INTO `table` (`column`) VALUES(’value’); DROP TABLE table;--’) 應(yīng)該采取哪些有效的方法來防止SQL注入?最佳回答(來自Theo):使用預(yù)處理語句和參數(shù)化查詢。預(yù)處理語句和參數(shù)分別發(fā)送到數(shù)據(jù)庫服務(wù)器進行解析,參數(shù)將會被當(dāng)作普通字符處理。這種方式使得攻擊者無法注入惡意的SQL。 你有兩種選擇來實現(xiàn)該方法:1、使用PDO:$stmt = $pdo->prepare(’SELECT * FROM employees WHERE name = :name’); $stmt->execute(array(’name’ => $name)); foreach ($stmt as $row) { // do something with $row } 2、使用mysqli:$stmt = $dbConnection->prepare(’SELECT * FROM employees WHERE name = ?’); $stmt->bind_param(’s’, $name); $stmt->execute(); $result = $stmt->get_result(); while ($row = $result->fetch_assoc()) { // do something with $row } PDO注意,在默認(rèn)情況使用PDO并沒有讓MySQL數(shù)據(jù)庫執(zhí)行真正的預(yù)處理語句(原因見下文)。為了解決這個問題,你應(yīng)該禁止PDO模擬預(yù)處理語句。一個正確使用PDO創(chuàng)建數(shù)據(jù)庫連接的例子如下:$dbConnection = new PDO(’mysql:dbname=dbtest;host=127.0.0.1;charset=utf8’, ’user’, ’pass’); $dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); $dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 在上面的例子中,報錯模式(ATTR_ERRMODE)并不是必須的,但建議加上它。這樣,當(dāng)發(fā)生致命錯誤(Fatal Error)時,腳本就不會停止運行,而是給了程序員一個捕獲PDOExceptions的機會,以便對錯誤進行妥善處理。 然而,第一個setAttribute()調(diào)用是必須的,它禁止PDO模擬預(yù)處理語句,而使用真正的預(yù)處理語句,即有MySQL執(zhí)行預(yù)處理語句。這能確保語句和參數(shù)在發(fā)送給MySQL之前沒有被PHP處理過,這將使得攻擊者無法注入惡意SQL。了解原因,可參考這篇博文:PDO防注入原理分析以及使用PDO的注意事項。 注意在老版本的PHP(<5.3.6),你無法通過在PDO的構(gòu)造器的DSN上設(shè)置字符集,參考:silently ignored the charset parameter。解析當(dāng)你將SQL語句發(fā)送給數(shù)據(jù)庫服務(wù)器進行預(yù)處理和解析時發(fā)生了什么?通過指定占位符(一個?或者一個上面例子中命名的 :name),告訴數(shù)據(jù)庫引擎你想在哪里進行過濾。當(dāng)你調(diào)用execute的時候,預(yù)處理語句將會與你指定的參數(shù)值結(jié)合。 關(guān)鍵點就在這里:參數(shù)的值是和經(jīng)過解析的SQL語句結(jié)合到一起,而不是SQL字符串。SQL注入是通過觸發(fā)腳本在構(gòu)造SQL語句時包含惡意的字符串。所以,通過將SQL語句和參數(shù)分開,你防止了SQL注入的風(fēng)險。任何你發(fā)送的參數(shù)的值都將被當(dāng)作普通字符串,而不會被數(shù)據(jù)庫服務(wù)器解析。回到上面的例子,如果$name變量的值為 ’Sarah’; DELETE FROM employees ,那么實際的查詢將是在 employees 中查找 name 字段值為 ’Sarah’; DELETE FROM employees 的記錄。 另一個使用預(yù)處理語句的好處是:如果你在同一次數(shù)據(jù)庫連接會話中執(zhí)行同樣的語句許多次,它將只被解析一次,這可以提升一點執(zhí)行速度。 如果你想問插入該如何做,請看下面這個例子(使用PDO):$preparedStatement = $db->prepare(’INSERT INTO table (column) VALUES (:column)’); $preparedStatement->execute(array(’column’ => $unsafeValue)); 原文鏈接: StackOverflow 翻譯: 伯樂在線 - rokety譯文鏈接: http://blog.jobbole.com/67875/
標(biāo)簽: PHP
相關(guān)文章:
主站蜘蛛池模板: 杭州ROHS检测仪-XRF测试仪价格-百科 | 广东护栏厂家-广州护栏网厂家-广东省安麦斯交通设施有限公司 | 隧道风机_DWEX边墙风机_SDS射流风机-绍兴市上虞科瑞风机有限公司 | 上海璟文空运首页_一级航空货运代理公司_机场快递当日达 | 轴承振动测量仪电箱-轴承测振动仪器-测试仪厂家-杭州居易电气 | 废气处理设备-工业除尘器-RTO-RCO-蓄热式焚烧炉厂家-江苏天达环保设备有限公司 | 井式炉-台车式回火炉-丹阳市电炉厂有限公司 | 广州印刷厂_广州彩印厂-广州艺彩印务有限公司 | 珠宝展柜-玻璃精品展柜-首饰珠宝展示柜定制-鸿钛展柜厂家 | 低噪声电流前置放大器-SR570电流前置放大器-深圳市嘉士达精密仪器有限公司 | 车充外壳,车载充电器外壳,车载点烟器外壳,点烟器连接头,旅行充充电器外壳,手机充电器外壳,深圳市华科达塑胶五金有限公司 | 【同风运车官网】一站式汽车托运服务平台,验车满意再付款 | 模具硅橡胶,人体硅胶,移印硅胶浆厂家-宏图硅胶科技 | 硅PU球场、篮球场地面施工「水性、环保、弹性」硅PU材料生产厂家-广东中星体育公司 | 螺旋叶片_螺旋叶片成型机_绞龙叶片_莱州源泽机械制造有限公司 | 聚合氯化铝-碱式氯化铝-聚合硫酸铁-聚氯化铝铁生产厂家多少钱一吨-聚丙烯酰胺价格_河南浩博净水材料有限公司 | 信阳网站建设专家-信阳时代网联-【信阳网站建设百度推广优质服务提供商】信阳网站建设|信阳网络公司|信阳网络营销推广 | 众品家具网-家具品牌招商_家具代理加盟_家具门户的首选网络媒体。 | 厦门网站建设_厦门网站设计_小程序开发_网站制作公司【麦格科技】 | 深圳宣传片制作-企业宣传视频制作-产品视频拍摄-产品动画制作-短视频拍摄制作公司 | 立式_复合式_壁挂式智能化电伴热洗眼器-上海达傲洗眼器生产厂家 理化生实验室设备,吊装实验室设备,顶装实验室设备,实验室成套设备厂家,校园功能室设备,智慧书法教室方案 - 东莞市惠森教学设备有限公司 | 工业PH计|工业ph酸度计|在线PH计价格-合肥卓尔仪器仪表有限公司 济南画室培训-美术高考培训-山东艺霖艺术培训画室 | 热处理温控箱,热处理控制箱厂家-吴江市兴达电热设备厂 | 管理会计网-PCMA初级管理会计,中级管理会计考试网站 | ALC墙板_ALC轻质隔墙板_隔音防火墙板_轻质隔墙材料-湖北博悦佳 | 可程式恒温恒湿试验箱|恒温恒湿箱|恒温恒湿试验箱|恒温恒湿老化试验箱|高低温试验箱价格报价-广东德瑞检测设备有限公司 | 心肺复苏模拟人|医学模型|急救护理模型|医学教学模型上海康人医学仪器设备有限公司 | 模型公司_模型制作_沙盘模型报价-中国模型网 | PC构件-PC预制构件-构件设计-建筑预制构件-PC构件厂-锦萧新材料科技(浙江)股份有限公司 | 会议会展活动拍摄_年会庆典演出跟拍_摄影摄像直播-艾木传媒 | 杭州中策电线|中策电缆|中策电线|杭州中策电缆|杭州中策电缆永通集团有限公司 | 钣金加工厂家-钣金加工-佛山钣金厂-月汇好 | 气动调节阀,电动调节阀,自力式压力调节阀,切断阀「厂家」-浙江利沃夫自控阀门 | PVC地板|PVC塑胶地板|PVC地板厂家|地板胶|防静电地板-无锡腾方装饰材料有限公司-咨询热线:4008-798-128 | 多米诺-多米诺世界纪录团队-多米诺世界-多米诺团队培训-多米诺公关活动-多米诺创意广告-多米诺大型表演-多米诺专业赛事 | elisa试剂盒价格-酶联免疫试剂盒-猪elisa试剂盒-上海恒远生物科技有限公司 | 冷却塔厂家_冷却塔维修_冷却塔改造_凉水塔配件填料公司- 广东康明节能空调有限公司 | 涡轮流量计_LWGY智能气体液体电池供电计量表-金湖凯铭仪表有限公司 | 骨密度检测仪_骨密度分析仪_骨密度仪_动脉硬化检测仪专业生产厂家【品源医疗】 | 福建珂朗雅装饰材料有限公司「官方网站」 | 制丸机,小型中药制丸机,全自动制丸机价格-甘肃恒跃制药设备有限公司 |