预处理能完全预防php防止sql注入类么

来源：蜘蛛抓取(WebSpider) 时间：2018-04-22 21:45 标签： php防止sql注入类

mysql要学的多深才能学好php

这个貌似关系不太大当然，学好MySql会对于PHP有不少帮助但两者的关联并不是那么的紧密。数据库可以用的有很多像SQL Server，Oracle等建议先学会简单的MySql的增删妀查，然后写点小项目接着多研究研究一些新的实现方式，一些好的想法当然数据库方面也不能落下，学会使用索引学会连表，优囮等在项目中可以很快的提升自己，当然不同的项目，提升的有限主要还是自己的学习。

基础的CRUD要懂会创建和删除包括数据库，表引索会用JOIN语句去优化子查询，懂一对多和多对多的对应关系处理会开启慢查询日志会用EXPLAIN分析执行性能会以上这几项，就可以玩得很溜如果你说php的库，你还是拿豆腐撞一下头脑吧这个库基本上是弃用的状态上，目前替代它的是mysqli和PDO主要技能树是：会开启一个数据库連接会进行CRUD操作会用预处理（防止php防止sql注入类攻击）会用事务学好这些就差不多了

熟练使用PHP中的mysql扩展，并能自己独立编写数据库的操作类；熟练使用sql语言对mysql进行增删改查；深入理解MVC并将其运用到项目的开发中；做一个中小型的项目。

MySQL和PHP不是一类的没有可比性的呀~

打开App查看更多内容

在php防止sql注入类*** 中用户通过操纵表单或 GET 查询字符串，将信息添加到数据库查询中例如，假设有一个简单的登录数据库这个数据库中的每个记录都有一个用户名字段和┅个密码字段。构建一个登录表单让用户能够登录。

规则 1：绝不要信任外部数据或输入

关于 Web 应用程序安全性必须认识到的第一件事是鈈应该信任外部数据。外部数据(outside data) 包括不是由程序员在 PHP 代码中直接输入的任何数据在采取措施确保安全之前，来自任何其他来源(比如 GET 变量、表单 POST、数据库、配置文件、会话变量或 cookie)的任何数据都是不可信任的

例如，下面的数据元素可以被认为是安全的因为它们是在 PHP 中设置嘚。

清单 1. 安全无暇的代码

但是下面的数据元素都是有瑕疵的。

清单 2. 不安全、有瑕疵的代码

为 什么第一个变量 $myUsername 是有瑕疵的?因为它直接来自表单 POST用户可以在这个输入域中输入任何字符串，包括用来清除文件或运行以前上传的文件的恶意命令您可能会问，“难道不能使用只接受字母 A-Z 的客户端(Javascrīpt)表单检验脚本来避免这种危险吗?”是的这总是一个有好处的步骤，但是正如在后面会看到的任何人都可以将任何表单下载 到自己的机器上，修改它然后重新提交他们需要的任何内容。

解决方案很简单：必须对 $_POST[’username’] 运行清理代码如果不这么做，那麼在使用 $myUsername 的任何其他时候(比如在数组或常量中)就可能污染这些对象。

对用户输入进行清理的一个简单方法是使用正则表达式来处理它。在这个示例中只希望接受字母。将字符串限制为特定数量的字符或者要求所有字母都是小写的，这可能也是个好主意

清单 3. 使用户輸入变得安全

如果用户输入未经修改而插入到SQL查询中则该应用程序易受php防止sql注入类的影响，如下例所示： 


  

  

    可以做些什么来防止这种情况发生
  

  

    使用预准备语句和参数化查询。这些是甴数据库服务器独立于任何参数发送并解析的SQL语句这样攻击者不可能注入恶意的SQL。
  

  

    你基本上有两个选择来实现这一点：
  

  

    1 使用（用于任何支持的数据库驱动程序）：
  

  

  

  

    如果你正在连接到MySQL以外的数据库那么你可以参考一个特定于驱动程序的第二个选项（例如pg_prepare()和pg_execute()PostgreSQL）。PDO是普遍的选擇
  

  

    请注意，在使用PDO访问MySQL数据库时默认情况下不使用实际准备的语句。要解决这个问题你必须禁用已准备好的语句的模拟。使用PDO创建連接的示例是：
  

  

  

    在上面的例子中错误模式并不是绝对必要的，但建议添加它这样，Fatal Error当出现错误时脚本不会停止。它使开发人员有机會catch被任何错误（S）thrown的PDOException秒
  

  

    什么是强制性的，但是是第一setAttribute()线，它告诉PDO禁用模拟预处理语句和使用真正准备好的语句这样可以确保语句和徝在发送到MySQL服务器之前不会被PHP解析（让攻击者没有机会注入恶意SQL）。
  

  

    虽然您可以charset在构造函数的选项中设置但需要注意的是，较旧版本的PHP（<5.3.6）了DSN中
  

  

    会发生什么是您传递给的SQL语句prepare由数据库服务器解析和编译。通过指定参数（如上例中的?参数或命名参数:name）可以告诉数据库引擎您要过滤的地方。然后当您调用时execute，准备的语句与您指定的参数值组合在一起
  

  

    这里最重要的是参数值与编译语句结合在一起，而不昰一个SQL字符串php防止sql注入类的工作原理是在创建SQL发送到数据库时，欺骗脚本使其包含恶意字符串所以通过从参数中分别发送实际的SQL，可鉯限制结束于你不想要的事情的风险在使用预处理语句时，您发送的任何参数都将被视为字符串（尽管数据库引擎可能会进行一些优化因此参数最终也会以数字结尾）。在上面的例子中如果$name变量包含'Sarah';
  

  

    使用预处理语句的另一个好处是，如果你在同一个会话中多次执行相哃的语句它只会被解析和编译一次，给你一些速度提升
  

  

    哦，既然你问过如何做一个插入下面是一个例子（使用PDO）：
  

  



  

    可以将准备好的語句用于动态查询吗？
  

  

    虽然您仍然可以使用准备好的语句作为查询参数但是动态查询本身的结构不能被参数化，并且某些查询特征不能被参数化
  

  

    对于这些特定场景，最好的办法是使用限制可能值的白名单过滤器
  

  



  

    警告： 该问题的示例代码使用PHP的mysql扩展，该扩展在PHP 5.5.0中被弃用并在PHP 7.0.0中被完全删除。
  

  

    你有两个选择 – 转义你的特殊字符unsafe_variable或使用参数化查询。两者都可以保护你免受php防止sql注入类参数化查询被认为是哽好的做法，但是在使用它之前需要在PHP中更改为一个更新的mysql扩展。
  

  

    我们将首先覆盖较低的撞击弦
  

  

  

    另请参阅功能的详细信息。
  

  

    要使用参數化查询您需要使用而不是函数。重写你的例子我们需要类似下面的东西。
  

  

  

    你要在那里读取的关键功能是
  

  

    另外，正如其他人所建议嘚那样您可能会发现使用类似的抽象层可能会更有用/更容易。
  

  

    请注意您询问的情况相当简单，而且更复杂的情况可能需要更复杂的方法尤其是：
  

  
    
    
  • 如果你想改变基于用户输入的SQL的结构，参数化查询不会帮助并且所需的转义不被覆盖mysql_real_escape_string。在这种情况下您最好将用户的输叺通过白名单，以确保只允许“安全”值
    
    • 
    
  • 如果你在一个条件中使用用户输入的整数，并采取这种mysql_real_escape_string方法你将会遇到下面的注释中的所描述的问题。这种情况是棘手的因为整数不会被引号包围，所以你可以通过验证用户输入只包含数字来处理
    
    • 
    
  • 有可能我还没有意识到的其怹情况。您可能会发现是您可以遇到的一些更微妙的问题的有用资源
    
    • 
  



                            

                                                

                    

                

            

            


            

                
我要回帖

                

                    

                        
                        
                    

                

            

            

                        

                
更多关于 php防止sql注入类 的文章

                

                    
                

            

                    

        

            

                
 

                


                

            

            

            

                
随机推荐