保護 PHP 應用程式免受 SQL 注入攻擊

阻止 SQL 注入攻擊對於維護 PHP 應用程式的安全至關重要。 SQL 注入是一個漏洞，允許攻擊者在您的資料庫上執行任意 SQL 程式碼，可能導致資料外洩或遺失。這是防止 PHP 中 SQL 注入攻擊的逐步指南，並附有實作範例和說明。

1.了解 SQL 注入

當使用者輸入未正確清理並合併到 SQL 查詢中時，就會發生 SQL 注入。例如，如果使用者輸入惡意 SQL 程式碼，它可能會操縱您的查詢來執行意外操作。

SQL 注入範例：

// Vulnerable Code
$user_id = $_GET['user_id'];
$query = "SELECT * FROM users WHERE id = $user_id";
$result = mysqli_query($conn, $query);

如果 user_id 設定為 1 OR 1=1，則查詢變成：

SELECT * FROM users WHERE id = 1 OR 1=1

此查詢將傳回 users 表中的所有行，因為 1=1 始終為 true。

2.使用準備好的語句

準備好的語句是防禦 SQL 注入的關鍵。它們將 SQL 邏輯與資料分離，並確保使用者輸入被視為資料而不是可執行程式碼。

將 MySQLi 與準備好的語句結合使用：

1. 連接到資料庫：

   $conn = new mysqli("localhost", "username", "password", "database");

   if ($conn->connect_error) {
       die("Connection failed: " . $conn->connect_error);
   }

1. 準備SQL語句：

   $stmt = $conn->prepare("SELECT * FROM users WHERE id = ?");

1. 綁定參數：

   $stmt->bind_param("i", $user_id); // "i" indicates the type is integer

1. 執行語句：

   $user_id = $_GET['user_id'];
   $stmt->execute();

1. 取得結果：

   $result = $stmt->get_result();
   while ($row = $result->fetch_assoc()) {
       // Process results
   }

1. 關閉語句和連接：

   $stmt->close();
   $conn->close();

完整範例：

<?php // Database connection
$conn = new mysqli("localhost", "username", "password", "database");

if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// Prepare statement
$stmt = $conn->prepare("SELECT * FROM users WHERE id = ?");
if ($stmt === false) {
    die("Prepare failed: " . $conn->error);
}

// Bind parameters
$user_id = $_GET['user_id'];
$stmt->bind_param("i", $user_id);

// Execute statement
$stmt->execute();

// Get results
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    echo "User ID: " . $row['id'] . "<br>";
    echo "User Name: " . $row['name'] . "<br>";
}

// Close statement and connection
$stmt->close();
$conn->close();
?>

3.將 PDO 與準備好的語句結合使用

PHP 資料物件 (PDO) 提供類似的針對 SQL 注入的保護並支援多個資料庫系統。

將 PDO 與準備好的語句結合使用：

1. 連接到資料庫：

   try {
       $pdo = new PDO("mysql:host=localhost;dbname=database", "username", "password");
       $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
   } catch (PDOException $e) {
       die("Connection failed: " . $e->getMessage());
   }

1. 準備SQL語句：

   $stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");

1. 綁定參數並執行：

   $stmt->bindParam(':id', $user_id, PDO::PARAM_INT);
   $user_id = $_GET['user_id'];
   $stmt->execute();

1. 取得結果：

   $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
   foreach ($results as $row) {
       echo "User ID: " . $row['id'] . "<br>";
       echo "User Name: " . $row['name'] . "<br>";
   }

完整範例：

setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // Prepare statement
    $stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");

    // Bind parameters
    $user_id = $_GET['user_id'];
    $stmt->bindParam(':id', $user_id, PDO::PARAM_INT);

    // Execute statement
    $stmt->execute();

    // Fetch results
    $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
    foreach ($results as $row) {
        echo "User ID: " . $row['id'] . "
";
        echo "User Name: " . $row['name'] . "
";
    }

} catch (PDOException $e) {
    die("Error: " . $e->getMessage());
}
?>

4.其他安全實務

• 清理輸入：始終清理和驗證使用者輸入，以確保它們採用預期的格式。
• 使用 ORM：像 Eloquent (Laravel) 這樣的物件關聯映射器在內部處理 SQL 注入保護。
• 限制資料庫權限：對資料庫使用者帳號使用最小權限原則。

5.結論

阻止 SQL 注入攻擊對於保護 PHP 應用程式至關重要。將準備好的語句與 MySQLi 或 PDO 一起使用，您可以確保使用者輸入得到安全處理，而不是作為 SQL 查詢的一部分執行。遵循這些最佳實踐將有助於保護您的應用程式免受最常見的 Web 漏洞之一的影響。

以上是保護 PHP 應用程式免受 SQL 注入攻擊的詳細內容。更多資訊請關注PHP中文網其他相關文章！