search

Home  >  Q&A  >  body text

php - 如何安全过滤用户提交的数据提交到数据库

sql注入总是无孔不入(ps:' or 1=1#),该如何安全的过滤好呢(我用的php和mysql_connect)?

巴扎黑巴扎黑2902 days ago502

reply all(2)I'll reply

  • 怪我咯

    怪我咯2017-04-10 14:30:00

    可以使用 mysql_real_escape_string() 对字符串进行转义,然后再放进 SQL。

    $name = mysql_real_escape_string($_POST['name']);
    mysql_query('SELECT * FROM `users` WHERE `name` = "'.$name.'"');
    
    //改进版。防 SQL 注入,同时屏蔽 _ 和 % 字符
    function escape($str) {
      $str = mysql_real_escape_string($str);
      $str = str_replace(['_', '%'], ['\\_', '\\%'], $str);
      return $str;
    }
    
    

    这里有官方介绍:http://www.php.net/manual/zh/function.mysql-real-escape-string.php


    个人建议还是使用一个WEB框架,常见的WEB框架都有完善的防注入机制。
    例如:
    简单、快速入门的:CodeIgniter
    功能更全面的:Yii (这个官网有时会被墙)

    reply
    0
  • PHP中文网

    PHP中文网2017-04-10 14:30:00

    select * from users where name = @name
    

    参数化查询(Parameterized Query 或 Parameterized Statement)是访问数据库时,在需要填入数值或数据的地方,使用参数 (Parameter) 来给值。

    在使用参数化查询的情况下,数据库服务器不会将参数的内容视为SQL指令的一部份来处理,而是在数据库完成SQL指令的编译后,才套用参数运行,因此就算参数中含有指令,也不会被数据库运行。Access、SQL Server、MySQL、SQLite等常用数据库都支持参数化查询。

    reply
    0
  • Cancelreply