PHP 資料庫連線安全性稽核：檢查您的程式碼是否有漏洞

資料庫連線安全稽核：使用安全協定（TLS/SSL）保護資料庫通信，防止中間人攻擊。使用參數化查詢，將資料與查詢字串分離，防止 SQL 注入攻擊。過濾使用者輸入，清除惡意字元和 SQL 指令，確保只有合法的輸入被執行。使用強密碼，並定期更改，避免使用預設或易猜密碼。限制資料庫訪問，只向需要訪問的人授予訪問權限，以降低攻擊面。

PHP 資料庫連線安全性稽核：檢查您的程式碼是否有漏洞

資料庫連線安全性在 PHP 應用程式中至關重要。不安全的連線可能會導致敏感資料的洩漏或對應用程式的未授權存取。在這篇文章中，我們將探討檢查 PHP 程式碼中資料庫連接安全漏洞的方法，並提供一些實戰案例。

1. 使用安全協議

確保您的資料庫伺服器和 PHP 應用程式使用安全協議，例如 TLS/SSL。這將加密資料庫通信，防止中間人攻擊。

$dsn = 'mysql:dbname=database;host=localhost;port=3306';
$username = 'username';
$password = 'password';

try {
    $db = new PDO($dsn, $username, $password, [
        PDO::ATTR_PERSISTENT => true,
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::MYSQL_ATTR_SSL_KEY => '/path/to/key.pem',
        PDO::MYSQL_ATTR_SSL_CERT => '/path/to/cert.pem',
        PDO::MYSQL_ATTR_SSL_CA => '/path/to/ca.pem',
    ]);
} catch (PDOException $e) {
    echo 'Connection failed: ' . $e->getMessage();
}

2. 參數化查詢

使用參數化查詢可防止 SQL 注入攻擊。它透過分離查詢字串和資料來防止惡意 SQL 命令被執行。

$stmt = $db->prepare('SELECT * FROM users WHERE username = :username');
$stmt->bindParam(':username', $username, PDO::PARAM_STR);
$stmt->execute();

3. 過濾使用者輸入

始終過濾使用者輸入，以防止惡意字元或 SQL 指令注入。使用內建函數，例如 filter_var() 和 htmlentities()，來對使用者輸入進行驗證和清理。

$username = filter_var($_POST['username'], FILTER_SANITIZE_STRING);
$password = filter_var($_POST['password'], FILTER_SANITIZE_STRING);

4. 使用安全密碼

務必使用強密碼，並定期變更密碼。避免使用預設或容易猜測的密碼，例如“password”或“admin”。

5. 限制資料庫存取

只授予需要存取資料庫的應用程式或使用者存取權限。限制對資料庫的存取可以減少攻擊面並降低資料外洩的風險。

實戰案例

案例 1:

$db = new PDO('mysql:dbname=database;host=localhost', 'username', 'password');

上面的程式碼容易受到 SQL 注入攻擊，因為沒有對使用者輸入進行過濾或驗證。

修復:

$username = filter_var($_POST['username'], FILTER_SANITIZE_STRING);
$password = filter_var($_POST['password'], FILTER_SANITIZE_STRING);

$db = new PDO('mysql:dbname=database;host=localhost', $username, $password);

案例2:

$stmt = $db->query('SELECT * FROM users WHERE username="' . $_POST['username'] . '"');

上面的程式碼也容易受到SQL 注入攻擊，因為它將使用者輸入直接插入SQL 查詢。

修復:

$stmt = $db->prepare('SELECT * FROM users WHERE username = :username');
$stmt->bindParam(':username', $_POST['username'], PDO::PARAM_STR);
$stmt->execute();

以上是PHP 資料庫連線安全性稽核：檢查您的程式碼是否有漏洞的詳細內容。更多資訊請關注PHP中文網其他相關文章！