如何防止 PHP 中的 SQL 注入

不管使用哪个数据库，避免SQL注入攻击的correct方法都是将数据保留为separate the data from SQL，以便SQL解析器将never be interpreted作为命令.可以使用格式正确的数据部分创建SQL语句，但如果您不了解详细信息，则应该始终将这些SQL语句与任何参数分开发送到数据库服务器并由数据库服务器解析.这样，攻击者就不可能注入恶意SQL.

你基本上有两个 Select 来实现这一点:

1. 使用PDO(对于任何支持的数据库驱动程序):

    $stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');
   
    $stmt->execute([ 'name' => $name ]);
   
    foreach ($stmt as $row) {
        // Do something with $row
    }
   

2. 使用MySQLi(用于MySQL):

    $stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
    $stmt->bind_param('s', $name); // 's' specifies the variable type => 'string'
   
    $stmt->execute();
   
    $result = $stmt->get_result();
    while ($row = $result->fetch_assoc()) {
        // Do something with $row
    }
   

如果您连接到MySQL以外的数据库，则有一个特定于驱动程序的第二个选项可以参考(例如，对于PostgreSQL，pg_prepare()和pg_execute()).PDO是通用选项.

正确设置连接

请注意，当使用PDO访问MySQL数据库时，real准备好的语句是not used by default.要解决这个问题，必须禁用对准备好的语句的模拟.使用PDO创建连接的示例如下:

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'password');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

在上面的例子中，错误模式不是严格必需的，but it is advised to add it.这样，当出现错误时，脚本不会以Fatal Error停止.并且它使开发人员有机会将thrown作为PDOExceptions的任何错误进行catch.

但是，mandatory是第一个setAttribute()行，它告诉PDO禁用模拟的预准备语句，而使用real个预准备语句.这样可以确保在将语句和值发送到MySQL服务器之前，PHP不会对其进行解析(使可能的攻击者没有机会注入恶意SQL).

尽管可以在构造函数的选项中设置charset，但需要注意的是，DSN中的PHP(5.3.6之前)的"旧"版本为silently ignored the charset parameter.

解释

传递给prepare的SQL语句由数据库服务器解析和编译.通过指定参数(?或上面示例中的命名参数，如:name)，可以告诉数据库引擎要在哪里进行筛选.然后，当您调用execute时，准备好的语句将与您指定的参数值相结合.

这里重要的一点是，参数值与已编译语句相结合，而不是与SQL字符串相结合.SQL注入的工作原理是，在创建要发送到数据库的SQL时，诱使脚本包含恶意字符串.因此，通过将实际的SQL与参数分开发送，您可以限制最终得到意外结果的风险.

在使用预处理语句时发送的任何参数都将被视为字符串(当然，数据库引擎可能会进行一些优化，因此参数也可能最终成为数字).在上面的例子中，如果$name变量包含'Sarah'; DELETE FROM employees，结果将只是搜索字符串"'Sarah'; DELETE FROM employees"，而不会以an empty table结束.

使用预处理语句的另一个好处是，如果在同一个会话中多次执行同一语句，它只会被解析和编译一次，从而提高了速度.

哦，既然您询问了如何为insert执行此操作，下面是一个示例(使用PDO):

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute([ 'column' => $unsafeValue ]);

准备好的语句可以用于动态查询吗？

虽然您仍然可以对查询参数使用预准备语句，但是动态查询本身的 struct 不能参数化，某些查询特性也不能参数化.

对于这些特定场景，最好使用白名单过滤器来限制可能的值.

// Value whitelist
// $dir can only be 'DESC', otherwise it will be 'ASC'
if (empty($dir) || $dir !== 'DESC') {
   $dir = 'ASC';
}