防止sql注入

php中文网

发布时间：2016-06-06 20:16:46

1692人浏览过

来源于php中文网

原创

在网上看了些关于防止sql注入的文件和提问，比如使用预处理、过滤敏感字符。我一直想不明白的是，解决ssql注入问题非常非常简单啊，只要对用户输入的内容转义一下就可以了，就是讲用户输入的',"转义成\',\"就可以了，搞不懂为什么搞的那么复杂了？还是说我这种方法不能杜绝所有的sql注入

回复内容：

用htmlspecialchars/HTMLPurifier防御XSS注入,用预处理参数化查询防御SQL注入.

调用HTMLPurifier过滤XSS后输出HTML:

require dirname(__FILE__).'/htmlpurifier/library/HTMLPurifier.auto.php';
$purifier = new HTMLPurifier();
echo $purifier->purify($html);

MySQLi绑定参数查询:

$db = @new mysqli();
$stmt = $db->prepare('SELECT * FROM posts WHERE id=?'); //预处理
$stmt->bind_param('i', $id); //绑定参数
$stmt->execute(); //查询
var_export($stmt->get_result()->fetch_all());

WireShark里用tcp.port==3306过滤分析PHP和MySQL通信
防止sql注入

set_charset('utf8');
$stmt = $mysqli->prepare("SELECT `username` FROM `pb_users` WHERE `id`=?");
$stmt->bind_param('i', $id);
$stmt->execute();
$stmt->store_result();
$stmt->bind_result($username);
while ($stmt->fetch()) echo $username;
$stmt->close();
$mysqli->close();

query('SET NAMES utf8');
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$sth = $dbh->prepare("SELECT `username` FROM `pb_users` WHERE `id`=?");
$sth->bindParam(1, $id, PDO::PARAM_INT);
$sth->execute();
print_r($sth->fetchAll(PDO::FETCH_ASSOC));
$sth = null;
$dbh = null;

在 Request Prepare Statement 里可以看到 SELECT username FROM pb_users WHERE id=?
在 Request Execute Statement 里可以看到 Parameter 内容为:
Type: FIELD_TYPE_LONGLONG (8)
Unsigned: 0
Value: 1
可见PHP将SQL模板和变量分两次发送给MySQL,由MySQL完成变量的转义处理.
既然SQL模板和变量是分两次发送的,那么就不存在SQL注入的问题了.

起航点卡销售系统

欢迎使用“起航点卡销售系统”销售程序：一、系统优势 1、售卡系统采取了会员与非会员相结合的销售方法，客户无需注册即可购卡，亦可注册会员购卡。 2、购卡速度快，整个购卡或过程只需二步即可取卡，让客户感受超快的取卡方式！ 3、批量加卡功能。 4、取卡方式：网上支付，即时取卡，30秒可完成交易。 5、加密方式：MD5 32位不可倒推加密 6、防止跨站

下载

在MySQL的general_log里可以看到:
Prepare SELECT username FROM pb_users WHERE id=?
Execute SELECT username FROM pb_users WHERE id=1
如果ID绑定为string,则Execute时id赋值是这样的: id='1'
如果PDO没有关闭模拟预处理,则可以看到:
Query SELECT username FROM pb_users WHERE id=1