Wie kann man SQL-Injection-Angriffe in PHP-Formularen verhindern?

Wie verhindert man SQL-Injection-Angriffe in PHP-Formularen?

SQL-Injection-Angriff ist eine sehr häufige und gefährliche Sicherheitslücke in der Webentwicklung. Angreifer nutzen diese Schwachstelle aus, um bösartigen Code in die Datenbank einzuschleusen und so die Integrität der Datenbank zu zerstören und sogar an sensible Informationen zu gelangen. In PHP-Formularen besteht die Hauptmethode zur Verhinderung von SQL-Injection-Angriffen darin, die vom Benutzer eingegebenen Daten streng zu filtern und zu kodieren. Dieser Artikel beschreibt anhand von Codebeispielen, wie Sie SQL-Injection-Angriffe verhindern können.

1. Vorbereitete Anweisungen verwenden

Vorbereitete Anweisungen sind eine Technologie, die SQL-Anweisungen zur Kompilierung und Analyse vor der Ausführung sendet. Es kann SQL-Injection-Angriffe wirksam verhindern, da es parametrisierte Abfragen verwendet, um vom Benutzer eingegebene Daten von SQL-Anweisungen zu trennen. Das PDO von PHP bietet eine Methode zur Verwendung vorbereiteter Anweisungen. Das Beispiel sieht wie folgt aus:

// 连接数据库
$dsn = 'mysql:host=localhost;dbname=test';
$username = 'root';
$password = 'password';

try {
    $pdo = new PDO($dsn, $username, $password);
    // 设置错误模式为异常
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
} catch(PDOException $e) {
    echo '数据库连接失败：' . $e->getMessage();
}

// 准备SQL语句
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');

// 绑定参数
$stmt->bindParam(':username', $username);

// 执行查询
$stmt->execute();

// 获取结果
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

// 输出结果
foreach($result as $row) {
    echo $row['username'];
}

Im obigen Code bereiten wir eine SQL-Anweisung über die Methode prepare() vor, die einen Parameter verwendet :username, um den vom Benutzer eingegebenen Benutzernamen zu ersetzen. Anschließend wird der tatsächliche Benutzername über die Methode bindParam() an den Parameter gebunden, und schließlich wird die Abfrage ausgeführt und die Ergebnisse erhalten. Auf diese Weise wirkt sich die Benutzereingabe unabhängig von der Benutzereingabe nicht auf die SQL-Anweisung aus. prepare()方法准备了一个SQL语句，其中使用了一个参数:username来代替用户输入的用户名。然后，通过bindParam()方法将实际的用户名绑定到参数上，最后执行查询并获取结果。这样，无论用户输入如何，都不会对SQL语句造成影响。

二、使用过滤函数

PHP提供了一些过滤函数，用于过滤和清理用户输入的数据。这些函数可以帮助我们去除输入字符串中的特殊字符和SQL关键字，从而防止SQL注入攻击。其中，mysqli_real_escape_string()是一种常用的过滤函数，示例如下：

// 连接数据库
$servername = "localhost";
$username = "root";
$password = "password";
$dbname = "test";

$conn = mysqli_connect($servername, $username, $password, $dbname);
// 检查连接是否成功
if (!$conn) {
    die("数据库连接失败: " . mysqli_connect_error());
}

// 过滤用户输入数据
$username = mysqli_real_escape_string($conn, $_POST['username']);
$password = mysqli_real_escape_string($conn, $_POST['password']);

// 执行查询
$sql = "SELECT * FROM users WHERE username = '{$username}' AND password = '{$password}'";
$result = mysqli_query($conn, $sql);

// 处理结果
if (mysqli_num_rows($result) > 0) {
    while($row = mysqli_fetch_assoc($result)) {
        echo "用户名为： " . $row["username"];
    }
} else {
    echo "用户名或密码错误";
}

// 关闭连接
mysqli_close($conn);

在上面的代码中，我们使用mysqli_real_escape_string()

2. Filterfunktionen verwenden

PHP bietet einige Filterfunktionen zum Filtern und Bereinigen von vom Benutzer eingegebenen Daten. Mithilfe dieser Funktionen können wir Sonderzeichen und SQL-Schlüsselwörter aus der Eingabezeichenfolge entfernen, um SQL-Injection-Angriffe zu verhindern. Unter diesen ist mysqli_real_escape_string() eine häufig verwendete Filterfunktion. Das Beispiel lautet wie folgt: 🎜rrreee🎜Im obigen Code verwenden wir die Funktion mysqli_real_escape_string() zum Filtern Filtern Sie die Benutzereingabe nach Name und Passwort und fügen Sie die gefilterte Zeichenfolge in die SQL-Anweisung ein. Selbst wenn die Eingabe Sonderzeichen oder SQL-Schlüsselwörter enthält, werden diese auf diese Weise maskiert, um SQL-Injection-Angriffe zu vermeiden. 🎜🎜Zusammenfassend lässt sich sagen, dass es viele Möglichkeiten gibt, SQL-Injection-Angriffe in PHP-Formularen zu verhindern, wobei die Verwendung vorbereiteter Anweisungen und Filterfunktionen die gebräuchlichsten und effektivsten Methoden sind. Unabhängig davon, welche Methode verwendet wird, stellen Sie sicher, dass die vom Benutzer eingegebenen Daten streng gefiltert und verschlüsselt werden, um die Sicherheit der Website und die Integrität der Daten zu gewährleisten. Gleichzeitig sollten Entwickler auch regelmäßige Sicherheitsüberprüfungen und Schwachstellenscans durchführen, um mögliche Sicherheitslücken zeitnah zu beheben und die Informationssicherheit der Website und der Benutzer zu schützen. 🎜

Das obige ist der detaillierte Inhalt vonWie kann man SQL-Injection-Angriffe in PHP-Formularen verhindern?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!