PHP中如何防止SQL注入攻击

如果用户输入的内容直接插入到SQL查询语句中，应用程序容易受到SQL注入攻击，就像下面的例子：

$unsafe_variable = $_POST['user_input'];

mysql_query("INSERT INTO table (column) VALUES ('" . $unsafe_variable . "')");

 

因为用户可以输入：value'); DROP TABLE table;--,查询语句变为：

INSERT INTO table (column) VALUES('value'); DROP TABLE table;--')

那该如何防范呢？

 

我们需要采用预处理语句和参数化查询。SQL语句由数据库服务器根据参数解析，这种方式使攻击者无法生成恶意的SQL命令。

方式有两种：

1. 使用PDO

 

12345 $stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name'); $stmt->execute(array(':name' => $name)); foreach ($stmt as $row) {     // do something with $row } 
2. 使用mysqli

2.1 例子1

 

123456789 $stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?'); $stmt->bind_param('s', $name);   $stmt->execute();   $result = $stmt->get_result(); while ($row = $result->fetch_assoc()) {     // do something with $row } 
2.2 例子2

 

1234567891011121314151617181920 <?php     $mysqli = new mysqli("server", "username", "password", "database_name");       // TODO - 检查连接是否成功       $unsafe_variable = $_POST["user-input"];       $stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");       // TODO 检查 $stmt 创建成功       // "s" means the database expects a string     $stmt->bind_param("s", $unsafe_variable);       $stmt->execute();       $stmt->close();       $mysqli->close(); ?> 
PDO

 

需要注意的是，当使用PDO访问MySQL数据库，真正的预处理语句并未使用，为了解决这个问题，你必须禁止仿真预处理语句，下面是一个创建PDO连接的例子：

 

1234 $dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');   $dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); $dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 
上面的代码中，错误模式的设置并不是必须的，但还是建议加上它。这样脚本遇到错误不会停止，给开发者catch PDOException异常的机会。

 

第一行的setAttribute是必须的，它告诉PDO禁用仿真预处理，使用真正的预处理。这样确保语句在发送给MySQL服务器前没有通过PHP解析，不给攻击者注入SQL的机会。

 

另外，对于PHP版本小于5.3.6，我需要在连接字符串中添加charset参数。

 

使用预处理语句的另外一个好处是，如果你在同一会话中多次执行相同的语句，只被解析和编译一次，提高了速度。

 

下面再给出一个PDO例子：

 

123 $preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');   $preparedStatement->execute(array(':column' => $unsafeValue));