준비된 명령문은 PHP 애플리케이션에서 SQL 주입 공격을 어떻게 방지할 수 있습니까?

PHP의 SQL 주입 공격 방지

웹 애플리케이션에서 사용자 입력이 처리되지 않을 경우 SQL 주입과 같은 취약점으로 이어질 수 있는 경우가 많습니다. 제대로. SQL 주입은 적절한 유효성 검사나 삭제 없이 사용자 제공 데이터가 SQL 문에 직접 포함될 때 발생합니다.

문제

다음 PHP 코드 조각을 고려하세요.

$unsafe_variable = $_POST['user_input'];

mysql_query("INSERT INTO `table` (`column`) VALUES ('$unsafe_variable')");

사용자가 값과 같은 악성 데이터를 입력하는 경우'); DROP TABLE 테이블;-- SQL 쿼리는 다음과 같습니다.

INSERT INTO `table` (`column`) VALUES('value'); DROP TABLE table;--')

이로 인해 악의적인 사용자가 데이터베이스에서 전체 테이블을 삭제하게 됩니다.

해결책: 준비된 명령문 및 매개변수화

SQL 주입을 방지하기 위해 권장되는 솔루션은 준비된 문을 사용하여 SQL에서 데이터를 분리하고 매개변수화하는 것입니다. 쿼리. 이렇게 하면 사용자 입력이 실행 가능한 명령이 아닌 데이터로 처리됩니다.

PDO 사용

PDO는 다양한 데이터베이스 드라이버에 일관되고 범용적인 인터페이스를 제공합니다. PDO와 함께 준비된 명령문을 사용하려면:

$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');
$stmt->execute(['name' => $name]);

foreach ($stmt as $row) {
    // Do something with $row
}

MySQLi 사용

특히 MySQL의 경우 MySQLi는 PHP 8.2에서 install_query() 메서드를 제공합니다.

$result = $db->execute_query('SELECT * FROM employees WHERE name = ?', [$name]);
while ($row = $result->fetch_assoc()) {
     // Do something with $row
 }

또는 이전 PHP 버전에서는 8.2:

$stmt = $db->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' specifies the variable type as string
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
     // Do something with $row
 }

다른 데이터베이스 드라이버의 경우 특정 설명서를 참조하세요.

올바른 연결 설정

진정한 보호를 보장하려면 중요합니다. 데이터베이스 연결을 구성하려면 올바르게:

PDO

에뮬레이트된 준비된 문 비활성화:

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

MySQLi

오류 활성화 보고 및 캐릭터 설정 set:

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$dbConnection = new mysqli('127.0.0.1', 'username', 'password', 'test');
$dbConnection->set_charset('utf8mb4');

설명

준비된 구문은 데이터베이스 서버에서 구문 분석 및 컴파일되며, 매개변수는 별도의 값으로 처리됩니다. 이렇게 하면 악의적인 입력이 명령으로 해석되는 것을 방지할 수 있습니다.

결론

Prepared 문과 매개변수화를 사용하면 SQL 주입 공격으로부터 PHP 웹 애플리케이션을 효과적으로 보호하고 유지 관리할 수 있습니다. 데이터 무결성.

위 내용은 준비된 명령문은 PHP 애플리케이션에서 SQL 주입 공격을 어떻게 방지할 수 있습니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!