`mysql_real_escape_string()` 真的能有效抵禦 SQL 注入嗎？

mysql_real_escape_string() 是否損壞？更深入的分析

儘管它被廣泛使用，但人們對 mysql_real_escape_string() 在防止 SQL 注入攻擊方面的有效性提出了一些擔憂。本文調查了這些說法，並探討了該函數的局限性和替代方案。

mysql_real_escape_string() 中的缺陷

對 mysql_real_escape_string() 的擔憂源自於其對目前MySQL 連結的字元集。如果字元集配置不正確或在查詢執行過程中發生更改，這種依賴性可能會導致漏洞。

MySQL 的文檔明確指出 mysql_real_escape_string() 使用的字元集由 mysql_set_character_set( ）。使用 SET NAMES 或 SET CHARACTER SET 語句設定字元集不會影響 mysql_real_escape_string() 使用的字元集。

證明程式碼

以下程式碼示範了該漏洞:

mysql_set_charset('latin1');
$escaped_string = mysql_real_escape_string("'@CHARACTER SET utf8");

在此範例中，mysql_set_charset()將連接字元集設為“latin1”。但是，mysql_real_escape_string() 函數仍然會對字串進行轉義，就好像字元集是「utf8」一樣。

mysql_real_escape_string() 的替代方案

鑑於這些限制，建議避免僅依賴 mysql_real_escape_string() 進行 SQL 注入 保護。相反，請考慮使用以下替代方案：

• 準備好的語句：使用 PHP 的 PDO 或 mysqli 功能產生準備好的語句來執行查詢。
• 字元設定操作： 確保使用 mysql_set_charset() 設定正確的字元集，並且它在查詢執行期間不會改變。
• 驗證和過濾：實作輸入驗證和過濾技術以防止惡意字元插入查詢中。

結論

雖然mysql_real_escape_string() 仍然是一個有效的方法轉義字符串，重要的是要了解其局限性並採用額外的安全措施來防止SQL 注入攻擊。透過了解和緩解這些缺陷，開發人員可以有效地保護其 MySQL 應用程式免受惡意輸入的侵害。

以上是`mysql_real_escape_string()` 真的能有效抵禦 SQL 注入嗎？的詳細內容。更多資訊請關注PHP中文網其他相關文章！