So verhindern Sie SQL-Injection-Angriffe in PHP

In Webanwendungen sind SQL-Injection-Angriffe eine häufige Angriffsmethode. Dabei wird die Unfähigkeit der Anwendung ausgenutzt, Benutzereingaben zu filtern oder einzuschränken und schädliche SQL-Anweisungen in die Anwendung einzufügen, wodurch die Datenbank vom Angreifer kontrolliert wird und vertrauliche Daten gestohlen werden. Für PHP-Entwickler ist die wirksame Verhinderung von SQL-Injection-Angriffen eine Fähigkeit, die beherrscht werden muss.

In diesem Artikel werden die besten Methoden zur Verhinderung von SQL-Injection-Angriffen in PHP vorgestellt. PHP-Entwicklern wird empfohlen, die folgenden Schritte zu befolgen, um ihre Anwendungen zu schützen.

1. Vorbereitete Anweisungen verwenden

Vorbereitete Anweisungen sind eine bewährte Methode, um SQL-Injection-Angriffe in PHP zu verhindern. Es definiert die Parameterplatzhalter der SQL-Anweisung, bevor die SQL-Abfrageanweisung an die Datenbank gesendet wird. Die Parameter in der Abfrage werden dann mit Platzhaltern gebunden und in der Datenbank ausgeführt, wodurch böswillig eingeschleuste SQL-Anweisungen vermieden werden.

Das Folgende ist ein Beispiel für die Verwendung von PDO-vorbereiteten Anweisungen zum Ausführen einer SQL-Abfrage:

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$username]);
$results = $stmt->fetchAll();

In diesem Beispiel ist $pdo ein PDO-Verbindungsobjekt und $username Erforderlich Der Benutzername, der die Abfrage durchführt. Die Methode prepare() definiert die vorbereitete Anweisung einer Abfrage und verwendet den Platzhalter ? anstelle der Parameter. Die Methode execute() bindet die Parameter in der vorbereiteten Anweisung an Platzhalter und führt die Abfrage an die Datenbank aus. Speichern Sie abschließend die Abfrageergebnisse in der Variablen $results. $pdo是一个PDO连接对象，$username是需要进行查询的用户名。prepare()方法定义了一个查询的预处理语句，并使用占位符?代替了参数。execute()方法将预处理语句中的参数与占位符绑定，并向数据库执行查询。最后，将查询结果存储在$results变量中。

2.使用参数化查询

参数化查询是一种在PHP中防止SQL注入攻击的另一种最佳实践。与预处理语句类似，它也使用占位符来代替需要查询的参数，但是它是在SQL查询语句中显式地定义占位符。

以下是一个使用mysqli参数化查询执行SQL查询的示例：

$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ?");
$stmt->bind_param('s', $username);
$stmt->execute();
$results = $stmt->get_result();

在此示例中，$mysqli是一个mysqli连接对象，$username是需要进行查询的用户名。prepare()方法定义了一个查询的参数化语句，并使用占位符?代替了参数。bind_param()方法将占位符与$username绑定。最后，调用execute()方法执行查询，get_result()方法获取查询结果。

使用参数化查询方式，比起预处理语句方式，要多做一步绑定参数的步骤，使用起来相对麻烦了一些。不过，参数化查询更加灵活，能够更好地处理一些复杂的SQL语句。

3.使用过滤器

PHP内置了大量的过滤器函数，可以用来过滤和验证输入值。使用合适的过滤器函数，可以确保输入值符合特定的格式或规范，并防止输入值被用于SQL注入攻击。

以下是一个使用filter_input()函数过滤用户输入的示例：

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_STRING);

在此示例中，filter_input()函数用于过滤用户输入的用户名和密码。第一个参数INPUT_POST指定了过滤的输入类型，此处指的是POST请求。第二个参数username和password分别为POST请求中传递的变量名。第三个参数FILTER_SANITIZE_STRING

2. Parametrisierte Abfragen verwenden

Parametrierte Abfragen sind eine weitere bewährte Methode, um SQL-Injection-Angriffe in PHP zu verhindern. Ähnlich wie vorbereitete Anweisungen verwendet es auch Platzhalter, um erforderliche Abfrageparameter zu ersetzen, definiert Platzhalter jedoch explizit in der SQL-Abfrageanweisung.

Das Folgende ist ein Beispiel für die Ausführung einer SQL-Abfrage mit mysqli-parametrisierten Abfragen:

rrreee

In diesem Beispiel ist $mysqli ein MySQL-Verbindungsobjekt und $username ist erforderlich Der Benutzername, der die Abfrage durchführt. Die Methode prepare() definiert eine parametrisierte Anweisung für eine Abfrage und verwendet Platzhalter ? anstelle von Parametern. Die Methode bind_param() bindet den Platzhalter an $username. Rufen Sie abschließend die Methode execute() auf, um die Abfrage auszuführen, und die Methode get_result(), um die Abfrageergebnisse abzurufen.

Bei Verwendung der parametrisierten Abfragemethode müssen Sie im Vergleich zur vorbereiteten Anweisungsmethode einen weiteren Schritt zum Binden von Parametern ausführen, was relativ umständlich zu verwenden ist. Allerdings sind parametrisierte Abfragen flexibler und können einige komplexe SQL-Anweisungen besser verarbeiten. 🎜🎜3. Filter verwenden🎜🎜PHP verfügt über eine große Anzahl integrierter Filterfunktionen, mit denen Eingabewerte gefiltert und überprüft werden können. Durch entsprechende Filterfunktionen können Sie sicherstellen, dass Eingabewerte einem bestimmten Format oder einer Spezifikation entsprechen und verhindern, dass Eingabewerte für SQL-Injection-Angriffe verwendet werden. 🎜🎜Hier ist ein Beispiel für das Filtern von Benutzereingaben mit der Funktion filter_input(): 🎜rrreee🎜In diesem Beispiel wird die Funktion filter_input() verwendet, um die Benutzereingaben zu filtern des Benutzernamens und Passworts. Der erste Parameter INPUT_POST gibt den gefilterten Eingabetyp an, der sich hier auf die POST-Anfrage bezieht. Die zweiten Parameter username und password sind jeweils die Variablennamen, die in der POST-Anfrage übergeben werden. Der dritte Parameter FILTER_SANITIZE_STRING wird verwendet, um alle illegalen Zeichen zu filtern und zu entfernen und die Buchstaben und Zahlen in der Zeichenfolge beizubehalten. 🎜🎜Die Verwendung von Filtern entspricht einer Ebene zur Überprüfung der Benutzereingaben auf dem Client. Verschiedene Filterfunktionen können verschiedene Arten von Eingaben filtern, was Entwicklern dabei helfen kann, SQL-Injection-Angriffe wirksam zu verhindern. 🎜🎜4. Datenbankbenutzerberechtigungen einschränken🎜🎜Stellen Sie abschließend sicher, dass Datenbankbenutzer nur minimale Berechtigungen für den Zugriff auf die Datenbank haben. Datenbankbenutzer, die nur über Änderungs-, Einfügungs-, Lösch- und andere Betriebsberechtigungen, aber keine Abfrage- und Auswahlberechtigungen verfügen, können keine Abfragen ausführen, die illegale Anweisungen enthalten, und verhindern so böswillige SQL-Injection-Angriffe. 🎜🎜Zusammenfassend lässt sich sagen, dass die Verhinderung von SQL-Injection-Angriffen in PHP von entscheidender Bedeutung ist. Durch die Verwendung vorbereiteter Anweisungen, parametrisierter Abfragen, Filter und die Einschränkung von Datenbankbenutzerberechtigungen können Entwickler ihre Anwendungen vor böswilligen Angriffen schützen. 🎜

Das obige ist der detaillierte Inhalt vonSo verhindern Sie SQL-Injection-Angriffe in PHP. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!