Compétences en implémentation PHP pour empêcher l'injection SQL

L'injection SQL est une méthode d'attaque courante qui contourne la vérification de sécurité d'une application en injectant dans la requête SQL de l'attaquant une entrée malveillante. Ce type d'attaque est couramment observé dans les applications Web, où PHP est un langage de programmation largement utilisé. En PHP, les programmeurs d'applications peuvent utiliser les techniques suivantes pour empêcher l'injection SQL.

1. Utilisez les instructions préparées

PHP fournit une technologie appelée instructions préparées, qui est un moyen sûr d'empêcher la méthode d'injection SQL. Les instructions préparées sont une technique qui sépare les chaînes de requête et les paramètres de requête avant d'exécuter une requête SQL. Grâce à cette technique, les attaquants ne peuvent pas injecter de code malveillant dans les paramètres de requête, protégeant ainsi l'application des attaques. Voici un exemple d'instruction préparée :

$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();

Dans cet exemple, la chaîne de requête SQL est "SELECT * FROM users WHERE username = ? AND password = ?", et $username et $password sont les instructions prétraitées. Traitez les paramètres de l'instruction. La fonction bind_param() est utilisée pour lier des variables aux paramètres des instructions préparées. De cette façon, quels que soient les paramètres saisis, ils seront ignorés et transmis en toute sécurité dans la requête.

2. Effectuer la validation des entrées

La validation des entrées est un moyen puissant d'empêcher l'injection SQL. Il s'agit d'une technique qui vérifie les données saisies par l'utilisateur pour s'assurer qu'elles correspondent au type, au format et à la longueur attendus. En PHP, vous pouvez utiliser des expressions régulières ou des fonctions de filtrage pour valider la saisie. Par exemple :

if (!preg_match("/^[a-zA-Z0-9]{8,}$/", $password)) {
    echo "Invalid password format";
    exit;
}

Dans cet exemple, la fonction preg_match() utilise une expression régulière pour vérifier si le format du mot de passe est valide. S'il n'est pas valide, le programme affichera un message d'erreur et se terminera.

3. Escape input

En PHP, vous pouvez utiliser la fonction mysqli_real_escape_string() ou addlashes() pour échapper à l'entrée de l'utilisateur. Ces fonctions convertissent les caractères spéciaux tels que les guillemets simples et doubles en caractères d'échappement pour éviter les attaques par injection SQL. Par exemple :

$username = mysqli_real_escape_string($mysqli, $_POST['username']);
$password = mysqli_real_escape_string($mysqli, $_POST['password']);

or

$username = addslashes($_POST['username']);
$password = addslashes($_POST['password']);

Dans cet exemple, la fonction mysqli_real_escape_string() est utilisée pour échapper aux valeurs d'entrée $post['username'] et $post['password']. Le caractère barre oblique inverse empêche les guillemets simples ou doubles d'être interprétés comme des guillemets fermants dans les requêtes SQL. La fonction addlashes() effectue également une tâche similaire : elle échappe aux caractères spéciaux.

En bref, pour empêcher les attaques par injection SQL, les programmeurs doivent utiliser des instructions préparées, une validation d'entrée et des techniques d'échappement. Ces techniques peuvent réduire les vulnérabilités et les failles que les attaquants peuvent exploiter. Dans le même temps, les développeurs d’applications doivent comprendre les méthodes d’attaque courantes par injection SQL pour améliorer la sécurité des applications.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!