PHP 애플리케이션에서 SQL 주입을 방지하려면 어떻게해야합니까?

PHP에서 SQL 주입 방지

SQL 인젝션은 수정되지 않은 사용자 입력이 SQL 쿼리에 잘못 삽입될 때 발생하는 취약점입니다. 이로 인해 공격자가 임의의 SQL 코드를 실행하여 응용 프로그램에 치명적인 결과를 초래할 수 있습니다.

SQL 주입을 방지하려면 데이터를 SQL에서 분리하여 데이터가 항상 데이터로 유지되고 SQL 파서에서 명령으로 해석되지 않도록 하는 것이 중요합니다. 이는 매개변수와 별도로 구문 분석을 위해 데이터베이스 서버에 SQL 쿼리를 보내는 매개변수가 있는 준비된 명령문을 사용하여 달성할 수 있습니다. 이렇게 하면 공격자가 악성 SQL을 삽입할 수 없습니다.

이를 달성하는 방법에는 두 가지가 있습니다.

• PDO 사용(지원되는 모든 데이터베이스 드라이버와 작동)

$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');
$stmt->execute(['name' => $name]);

foreach ($stmt as $row) {
    // 处理 $row
}

• MySQLi 사용(MySQL용)

PHP 8.2:

$result = $db->execute_query('SELECT * FROM employees WHERE name = ?', [$name]);
while ($row = $result->fetch_assoc()) {
    // 处理 $row
}

PHP 8.1 이하:

$stmt = $db->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' 指定变量类型 -> 'string'
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // 处理 $row
}

MySQL이 아닌 데이터베이스에 연결하는 경우 두 번째 드라이버별 옵션(예: PostgreSQL의 pg_prepare() 및 pg_execute())을 참조할 수 있습니다. PDO는 보편적인 선택입니다.

올바른 연결 구성

PDO를 사용하여 MySQL 데이터베이스에 액세스할 때 실제 준비된 명령문은 기본적으로 사용되지 않습니다. 이 문제를 해결하려면 준비된 문의 시뮬레이션을 비활성화해야 합니다. 다음은 PDO를 사용하여 연결을 생성하는 방법의 예입니다.

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8mb4', 'user', 'password');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

MySQLi의 경우 동일한 작업을 수행해야 합니다.

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); // 错误报告
$dbConnection = new mysqli('127.0.0.1', 'username', 'password', 'test');
$dbConnection->set_charset('utf8mb4'); // 编码

설명

prepare에 전달한 SQL 쿼리는 데이터베이스 서버에서 구문 분석되고 컴파일됩니다. 매개변수(? 또는 위의 :name 예와 같은 명명된 매개변수)를 지정하면 필터링할 기준을 데이터베이스 커널에 알릴 수 있습니다. 그런 다음 execute이 호출되면 전처리된 쿼리가 제공한 매개변수 값과 결합됩니다.

매개변수 값이 SQL 문자열이 아닌 컴파일된 쿼리와 결합되는 것이 중요합니다. SQL 주입은 데이터베이스로 전송될 SQL을 생성할 때 스크립트를 속여 악성 문자열을 포함시키는 방식으로 작동합니다. 따라서 실제 SQL을 매개변수와 별도로 전송하면 예상치 못한 결과가 발생할 위험이 줄어듭니다.

Prepared 문을 사용하여 전송된 모든 매개변수는 단순히 문자열로 처리됩니다(단, 데이터베이스 커널이 일부 최적화를 수행하여 매개변수가 숫자일 수도 있음). 위의 예에서 변수 $name에 'Sarah'; DELETE FROM employees가 포함되어 있으면 검색 문자열 "'Sarah'; DELETE FROM employees "만 결과로 나오고 테이블이 지워지지 않습니다.

Prepared 문을 사용하는 또 다른 이점은 동일한 세션에서 동일한 쿼리를 여러 번 실행하는 경우 한 번만 구문 분석되고 컴파일되므로 속도가 빨라진다는 것입니다.

위 내용은 PHP 애플리케이션에서 SQL 주입을 방지하려면 어떻게해야합니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!