Adakah `mysqli_real_escape_string()` Cukup untuk Mencegah Serangan Suntikan SQL?

Adakah "mysqli_real_escape_string" MySQLi Mencukupi Melawan Serangan SQL?

Kod anda cuba melindungi daripada suntikan SQL menggunakan "mysqli_real_escape_string()". Walau bagaimanapun, seperti yang ditunjukkan oleh uri2x, langkah ini tidak mencukupi.

Kerentanan kepada SQL Injection

"mysqli_real_escape_string()" hanya terlepas daripada aksara tertentu, menjadikan pertanyaan anda terdedah kepada SQL serangan suntikan. Sebagai contoh, kod berikut masih boleh terdedah:

$email = mysqli_real_escape_string($db_con, $_POST['email']);
$query = "SELECT * FROM users WHERE email = '" . $email . "'";

Penyerang boleh memasukkan alamat e-mel seperti "email'@example.com" untuk mengeksploitasi pertanyaan, menambah pernyataan SQL tambahan selepas input yang dilepaskan.

Penggunaan Penyata Disediakan

Sebaliknya "mysqli_real_escape_string()", cara paling berkesan untuk menghalang suntikan SQL adalah dengan menggunakan pernyataan yang disediakan. Penyataan yang disediakan memisahkan data daripada rentetan pertanyaan, menghalang pencemaran data.

$stmt = $db_con->prepare("INSERT INTO users (email, psw) VALUES (?, ?)");
$stmt->bind_param('ss', $email, $psw);
$email = mysqli_real_escape_string($db_con, $_POST['email']);
$psw = mysqli_real_escape_string($db_con, $_POST['psw']);
$stmt->execute();

Penyenaraian Putih Aksara Tegas

Dalam situasi di mana pernyataan yang disediakan tidak boleh dilaksanakan, melaksanakan watak yang ketat senarai putih boleh menjamin keselamatan. Ini melibatkan input penapisan untuk memastikan ia hanya mengandungi aksara yang dibenarkan.

Kesimpulan

"mysqli_real_escape_string()" sahaja tidak mencukupi untuk melindungi daripada suntikan SQL. Kenyataan yang disediakan dan penyenaraian putih yang ketat memberikan perlindungan yang lebih teguh terhadap serangan ini.

Atas ialah kandungan terperinci Adakah `mysqli_real_escape_string()` Cukup untuk Mencegah Serangan Suntikan SQL?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!