PHP避免SQL注入的常用方法_开发_开发者_运维开发者技术经验分享

在开发php网站时，经常需要和数据库交互来存储和获取数据。然而，如果不对用户输入的数据进行处理，就可能会导致SQL注入攻击。SQL注入php是一种常见的安全漏洞，攻击者可以通过恶意构造的输入数据来进入到数据库中，从而获取或篡改数据的行为。

为了避免SQL注入攻击，可以采取以下三种主要方法：

1.使用参数化查询

参数化查询是防止SQL注入攻击最有效的手段之一。在使用参数化查询时，所有的用户输入都会被作为参数传递给预定义的SQL语句，而不是直接拼接到SQL语句中。这样可以防止攻击者将恶意的SQL代码插入到查询语句中。

<?php
// 假设已经连接到数据库
$mysqli = new mysqli("localhost", "username", "password", "database");
// 检查连接是否成功
if ($mysqli->connect_error) {
    die("连接失败: " . $mysqli->connect_error);
}
// 预备一个参数化查询
$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
// 绑定参数
$username = "exampleUser";
$password = "examplePass";
$stmt->bind_param("ss", $username, $password);
// 执行查询
$stmt->execute();
// 绑定结果变量
$stmt->bind_result($user_id, $user_name, $user_pass);
// 获取结果
while ($stmt->fetch()) {
    echo "ID: " . $user_id . " - Name: " . $user_name . " - Pass: " . $user_pass . "<br>";
}
// 关闭语句
$stmt->close();
// 关闭连接
$mysqli->close();
?>

这段代码展示了如何使用mysqli扩展库中的prepare和bind_param方法来创建一个参数化查询，通过使用`?`占位符来指定参数的位置，这样无论用户输入的是什么，都不会破坏原有的SQL语句结构，可以有效预防SQL注入攻击。在实际应用中，应该确保从用户那里获取的所有数据都应该被当作不信任的输入，并且在插入数据库之前进行适当的清理或者验证。

2.输入验证和过滤

输入验证和过滤是防止SQL注入攻击的重要手段之一，通过对用户输入数据进行验证和过滤，可以排除潜在的安全风险。验证和过滤通常指的是对输入数据进行检查，确保它符合预期的格式或值，并去除可能对应用程序造成威胁的不安全元素。PHP内置了一些函数来帮助我们实现这些任务。

在验证用户输入时，应该注意以下几点：

-长度验证：限制输入的最大长度，以防止输入超出预期范围。

-数据类型验证：检查输入的数据是否符合预期的数据类型，如数字、日期等。

-白名单验证：只允许特定的字符或者字符集合，排除其他潜在的恶意字符。

filter_var 函数过滤用户输入的数据

filter_var(variable, filter, options)

参数	描述
variable	必需。规定要过滤的变量。
filter	可选。规定要使用的过滤器的 ID。默认是 FILTER_SANITIZE_STRING。完整的 PHP Filter 参考手册如下表
options	可选。规定一个包含标志/选项的关联数组或者一个单一的标志/python选项。检查每个过滤器可能的标志和选项。

完整的 PHP Filter 参考手册

ID 名称	描述
FILTER_CALLBACK	调用用户自定义函数来过滤数据。
FILTER_SANITIZE_STRING	去除标签，去除或编码特殊字符。
FILTER_SANITIZE_STRIPPED	"string" 过滤器的别名。
FILTER_SANITIZE_ENCODED	URL-encode 字符串，去除或编码特殊字符。
FILTER_SANITIZE_SPECIAL_CHARS	HTML 转义字符 '"<>& 以及 ASCII 值小于 32 的字符。
FILTER_SANITIZE_EMAIL	删除所有字符，除了字母、数字以及 !#$%&'*+-/=?^_`{\|}~@.[]
FILTER_SANITIZE_URL	删除所有字符，除了字母、数字以及 $-_.+!'(),{}\|\^~[]`<>#%";/?:@android*&=
FILTER_SANITIZE_NUMBER_INT	删除所有字符，除了数字和 +-
FILTER_SANITIZE_NUMBER_FLOAT	删除所有字符，除了数字、+- 以及 .,eE
FILTER_SANITIZE_MAGIC_QUOTES	应用 addslashes()。
FILTER_UNSAFE_RAW	不进行任何过滤，去除或编码特殊字符。
FILTER_VALIDATE_INT	把值作为整数来验证。
FILTER_VALIDATE_BOOLEAN	把值作为布尔选项来验证。如果是 "1"、"true"、"on" 和 "yes"，则返回 TRUE。如果是 "0"、"false"、"off"、"no" 和 ""，则返回 FALSE。否则返回 NULL。
FILTER_VALIDATE_FLOAT	把值作为浮点数来验证。
FILTER_VALIDATE_REGEXP	根据 regexp（一种兼容 perl 的正则表达式）来验证值。
FI编程LTER_VALIDATE_URL	把值作为编程URL 来验证。
FILTER_VALIDATE_EMAIL	把值作为 e-mail 地址来验证。
FILTER_VALIDATE_IP	把值作为 IP 地址来验证，只限 IPv4 或 IPv6 或不是来自私有或者保留的范围。

htmlspecialchars() 转换为HTML实体

函数把预定义的字符转换为HTML实体。

预定义的字符是：

& （和号）成为 &
" （双引号）成为 "
' （单引号）成为 '
< （小于）成为 <
> （大于）成为 >

mysqli_real_escape_string

这个函数可以将字符串中的特殊字符转义，从而防止对数据库产生影响。在数据存储到数据库之前，应该对用户输入的数据进行转义处理。这是因为用户输入的数据可能包含特殊字符，而为了保护数据库的完整性和安全性，应该在将数据插入数据库之前进行转义。

// 假设 $conn 是已经通过 mysqli_connect 建立的数据库连接
// 假设 $input 是需要转义的字符串
$conn = new mysqli('localhost', 'username', 'password', 'database');
// 检查连接是否成功
if ($conn->connect_error) {
    die("连接失败: " . $conn->connect_error);
}
$input = "O'Reilly";
$escaped_input = $conn->real_escape_string($input);
// 现在可以安全地使用 $escaped_input 在 SQL 查询中
// 例如：SELECT * FROM users WHERE name = '$escaped_input';