PHP数据库安全防范措施_PHPSQL注入预防最佳实践

<?php
try {
    $dsn = 'mysql:host=localhost;dbname=mydb;charset=utf8mb4';
    $user = 'myuser';
    $password = 'mypassword';
    $pdo = new PDO($dsn, $user, $password);
    // 设置错误模式为抛出异常，便于调试和错误处理
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    // 禁用模拟预处理，确保真正的预处理，增强安全性
    $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); 
    // 设置默认的查询结果获取模式
    $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);

    $username = $_POST['username'] ?? ''; // 使用null合并运算符提供默认值
    $email = $_POST['email'] ?? '';

    // 使用占位符 '?'
    $stmt = $pdo->prepare(&quot;INSERT INTO users (username, email) VALUES (?, ?)&quot;);
    $stmt->execute([$username, $email]);

    echo &quot;用户注册成功！&quot;;

} catch (PDOException $e) {
    // 在生产环境，应将错误记录到日志，而不是直接显示给用户
    error_log(&quot;数据库操作失败: &quot; . $e->getMessage());
    echo &quot;操作失败，请稍后再试。&quot;;
}
?>

<?php
$mysqli = new mysqli(&quot;localhost&quot;, &quot;myuser&quot;, &quot;mypassword&quot;, &quot;mydb&quot;);

if ($mysqli->connect_error) {
    die(&quot;连接失败: &quot; . $mysqli->connect_error);
}

$username = $_POST['username'] ?? '';
$email = $_POST['email'] ?? '';

$stmt = $mysqli->prepare(&quot;INSERT INTO users (username, email) VALUES (?, ?)&quot;);
if ($stmt === false) {
    die(&quot;预处理失败: &quot; . $mysqli->error);
}
// &quot;ss&quot; 表示两个参数都是字符串类型 (string, string)
$stmt->bind_param(&quot;ss&quot;, $username, $email);
$stmt->execute();

if ($stmt->affected_rows > 0) {
    echo &quot;用户注册成功！&quot;;
} else {
    echo &quot;注册失败或无数据变动。&quot;;
}

$stmt->close();
$mysqli->close();
?>

<?php
$email = $_POST['email'] ?? '';
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    die(&quot;无效的邮箱格式。&quot;);
}

$id = $_GET['id'] ?? '';
if (!filter_var($id, FILTER_VALIDATE_INT)) {
    die(&quot;无效的ID格式，ID必须是整数。&quot;);
}
// 确保是正整数，并强制转换为整数类型
$id = (int)$id; 
if ($id <= 0) {
    die(&quot;ID必须是正整数。&quot;);
}
// 现在 $id 是一个安全的整数，可以用于预处理语句
?>

-- 创建一个新用户，并指定只能从localhost连接
CREATE USER 'webapp_user'@'localhost' IDENTIFIED BY 'your_secure_password';

-- 授予用户在特定数据库（your_database）的特定表（your_table）上进行SELECT, INSERT, UPDATE, DELETE的权限
GRANT SELECT, INSERT, UPDATE, DELETE ON your_database.your_table TO 'webapp_user'@'localhost';

-- 如果应用需要对多个表操作，可以授予对整个数据库的这些权限，但要谨慎
-- GRANT SELECT, INSERT, UPDATE, DELETE ON your_database.* TO 'webapp_user'@'localhost';

-- 刷新权限，使更改生效
FLUSH PRIVILEGES;

-- 撤销权限的例子 (如果需要)
-- REVOKE DROP ON your_database.* FROM 'webapp_user'@'localhost';

DB_HOST=localhost
DB_NAME=mydb
DB_USER=myuser
DB_PASSWORD=your_secure_password

<?php
// 假设你使用了一个dotenv库，例如 vlucas/phpdotenv
// composer require vlucas/phpdotenv
require_once __DIR__ . '/vendor/autoload.php';
$dotenv = Dotenv\Dotenv::createImmutable(__DIR__);
$dotenv->load();

$host = $_ENV['DB_HOST'];
$dbname = $_ENV['DB_NAME'];
$user = $_ENV['DB_USER'];
$password = $_ENV['DB_PASSWORD'];

// 然后用这些变量建立PDO连接
try {
    $dsn = &quot;mysql:host={$host};dbname={$dbname};charset=utf8mb4&quot;;
    $pdo = new PDO($dsn, $user, $password);
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); 
    // ... 其他PDO设置
} catch (PDOException $e) {
    error_log(&quot;数据库连接失败: &quot; . $e->getMessage());
    die(&quot;系统维护中，请稍后再试。&quot;);
}
?>

<?php
// ... 获取配置信息（host, dbname, user, password） ...

$options = [
    PDO::MYSQL_ATTR_SSL_CA => '/etc/ssl/certs/ca.pem', // 你的CA证书路径
    PDO::MYSQL_ATTR_SSL_CERT => '/etc/ssl/certs/client-cert.pem', // 客户端证书路径
    PDO::MYSQL_ATTR_SSL_KEY => '/etc/ssl/certs/client-key.pem', // 客户端私钥路径
    // 强制使用SSL，并验证服务器证书
    PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT => true, 
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES => false, // 禁用模拟预处理，确保真正的预处理
];

try {
    $dsn = &quot;mysql:host={$host};dbname={$dbname};charset=utf8mb4&quot;;
    $pdo = new PDO($dsn, $user, $password, $options);
    // ...
} catch (PDOException $e) {
    error_log(&quot;数据库SSL连接失败: &quot; . $e->getMessage());
    die(&quot;系统维护中，请稍后再试。&quot;);
}
?>