php如何防止sql注入?

Answer 1

防止SQL注入的关键在于避免直接将用户的输入插入到SQL查询字符串中，因为这样使得攻击者能够操纵查询，从而进行注入攻击。例如，如果用户输入的是 `'); DROP TABLE table;--`，那么最终的SQL语句将变成 `DROP TABLE table;`，这将导致表被删除。

要避免这种情况，需要采用准备语句和参数化查询。这种方法将SQL语句和参数分开发送和解析，攻击者无法利用注入来执行恶意SQL。以下是两种实现方式：

首先，可以使用MySQLi扩展。

如果你使用的是非MySQL数据库，例如PostgreSQL，可以通过使用`pg_prepare()`和`pg_execute()`方法实现类似功能。PDO（PHP Data Objects）则提供了更广泛的兼容性。

在设置数据库连接时，确保关闭准备模拟选项，以确保真正的SQL语句准备和参数分离。例如，如下代码展示了如何正确设置连接：

设置错误模式为推荐的，以便在遇到问题时提供有用的错误信息。

重点在于设置`PDO`属性为不模拟准备语句，而是真正准备语句。这样，PHP不会自行解析SQL，而是将SQL语句发送给MySQL服务器，防止了攻击者注入恶意SQL。

值得注意的是，某些老版本的PHP（<5.3.6）会忽略DSN中的字符集参数。

通过参数化查询，SQL语句与参数分离。这样，参数和编译过的语句结合，而不是与SQL字符串结合，避免了混淆参数和语句的攻击机制。例如，如果`$name`变量是 `'Sarah'; DELETE FROM employees`，实际执行的SQL语句将为 `'Sarah'; DELETE FROM employees'`，而不是删除整个表。这保证了数据安全。

另一个优势是，对于重复执行的相同查询，SQL语句只需编译一次，可以提高执行效率。

对于需要执行动态查询的场景，最好采用白名单限制输入。准备语句仅用于准备参数，查询结构不能改变。