Comment utiliser en toute sécurité l'extension MySQL en PHP pour empêcher l'injection SQL ?

Comment créer des requêtes de base de données sécurisées avec l'extension MySQL

L'extension MySQL offre une approche rudimentaire mais fonctionnelle des interactions avec les bases de données en PHP. Bien qu'il ne s'agisse pas de l'option la plus recommandée, son utilisation appropriée peut atténuer les pièges potentiels en matière de sécurité et d'utilisabilité.

Considérations essentielles pour les requêtes sécurisées

Pour se prémunir contre les vulnérabilités courantes, il est crucial de adhérer aux meilleures pratiques :

• Empêcher l'injection SQL en échappant à l'utilisateur input.
• Évitez l'exécution dynamique de SQL, telle que les clauses LIMIT ou les noms de table.
• Mettez en œuvre des rapports d'erreurs robustes pour le débogage et l'utilisation en production.
• Protégez-vous contre les scripts intersites ( XSS) en nettoyant la sortie.

Exemple de code pour MySQL sécurisé Interaction

Illustrons un script PHP sécurisé qui effectue une requête UPDATE sur la table 'tablename' :

header('Content-type: text/html; charset=utf-8');
error_reporting(E_ALL | E_STRICT);
ini_set('display_errors', 1);

$config = array(
    'host' => '127.0.0.1',
    'user' => 'my_user',
    'pass' => 'my_pass',
    'db' => 'my_database'
);

$connection = @mysql_connect($config['host'], $config['user'], $config['pass']);

if (!$connection) {
    trigger_error('Unable to connect to database: ' . mysql_error(), E_USER_ERROR);
}

if (!mysql_select_db($config['db'])) {
    trigger_error('Unable to select db: ' . mysql_error(), E_USER_ERROR);
}

if (!mysql_set_charset('utf8')) {
    trigger_error('Unable to set charset for db connection: ' . mysql_error(), E_USER_ERROR);
}

$result = mysql_query('UPDATE tablename SET name = "' . mysql_real_escape_string($_POST['name']) . '" WHERE id = "' . mysql_real_escape_string($_POST['id']) . '"');

if ($result) {
    echo htmlentities($_POST['name'], ENT_COMPAT, 'utf-8') . ' updated.';
} else {
    trigger_error('Unable to update db: ' . mysql_error(), E_USER_ERROR);
}

Explication

• Échapper aux entrées de l'utilisateur : Les valeurs d'entrée (identifiant et nom) sont échappées à l'aide de mysql_real_escape_string pour empêcher l'injection SQL.
• Désactiver l'affichage des erreurs : L'affichage des erreurs est désactivé en mode production (display_errors défini sur 0) pour des raisons de sécurité.
• Support Unicode : Le support Unicode est activé via mysql_set_charset('utf8') pour gérer l'international caractères.
• Gestion des erreurs : Des erreurs détaillées sont déclenchées en cas d'échec, facilitant le débogage et le rapport d'erreurs. La fonction trigger_error() peut être personnalisée selon les besoins.

Cet exemple de code montre comment exécuter une requête de mise à jour sécurisée à l'aide de l'extension MySQL. Il sert de référence aux développeurs cherchant à mettre en œuvre les meilleures pratiques dans leurs propres interactions avec les bases de données.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!