PHP表單過濾：SQL注入防範與過濾

PHP表單過濾：SQL注入防範與過濾

引言：

隨著互聯網的快速發展，Web應用程式的開發變得越來越普遍。在Web開發中，表單是最常見的使用者互動方式之一。然而，表單提交資料的處理過程中存在著安全風險。其中，最常見的風險之一就是SQL注入攻擊。

SQL注入攻擊是一種利用網路應用程式對使用者輸入資料處理不當而導致攻擊者能夠執行非授權資料庫查詢的攻擊方式。攻擊者透過在輸入框中註入惡意的SQL程式碼，可以取得、修改、刪除甚至破壞資料庫中的資料。

為了防範SQL注入攻擊，我們需要對使用者輸入資料進行合理的過濾和處理。下面，我們將介紹一些常用的PHP表單過濾方法，並提供對應的程式碼範例。

1. 字串篩選

字串篩選是最常見的表單篩選方法之一。透過使用PHP的內建函數或正規表示式，我們可以過濾一些特殊字元和關鍵字，防止使用者輸入惡意程式碼。

1.1 使用PHP的內建函數進行字串過濾

範例程式碼：

$name = $_POST['name'];
$filtered_name = filter_var($name, FILTER_SANITIZE_STRING);

在上述範例中，我們透過filter_var函數和FILTER_SANITIZE_STRING選項過濾了使用者輸入的姓名。此選項將會過濾掉原始字串中的特殊字元。

1.2 使用正規表示式進行字串過濾

範例程式碼：

$email = $_POST['email'];
$filtered_email = preg_replace('/[^a-zA-Z0-9@.]/', '', $email);

在上述範例中，我們使用preg_replace函數和正規表示式，將除了大小寫字母、數字、@和.之外的字元替換為空字串。這樣，我們就可以過濾掉一些特殊字符，確保使用者輸入的郵箱地址是合法的。

2. 數字過濾

數字過濾用於過濾使用者輸入的數值類型數據，確保其合法性。

2.1 使用PHP的內建函數進行數字過濾

範例程式碼：

$age = $_POST['age'];
$filtered_age = filter_var($age, FILTER_SANITIZE_NUMBER_INT);

在上述範例中，我們使用filter_var函數和FILTER_SANITIZE_NUMBER_INT選項過濾了使用者輸入的年齡。此選項將會過濾掉原數值中的非數字字元。

2.2 使用正規表示式進行數字過濾

範例程式碼：

$price = $_POST['price'];
$filtered_price = preg_replace('/[^0-9.]/', '', $price);

在上述範例中，我們使用preg_replace函數和正規表示式，將除了數字和.之外的字元替換為空字串。這樣，我們就可以過濾掉一些特殊字符，確保用戶輸入的價格是合法的。

3. SQL注入防範

除了對使用者輸入的資料進行過濾，我們還需要採取一些安全措施來防範SQL注入攻擊。

3.1 使用預處理語句

範例程式碼：

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();

在上述範例中，我們使用PDO的預處理語句來執行資料庫查詢。透過使用綁定參數的方式，我們可以在查詢中避免直接拼接使用者輸入的數據，從而有效防止SQL注入攻擊。

結論：

在網路開發中，表單是非常重要的使用者互動方式。然而，在表單資料的處理過程中，我們必須非常小心，防範SQL注入攻擊。透過合理的資料過濾和使用預處理語句，我們可以保證使用者輸入的資料是合法的，並且有效地防止SQL注入攻擊。希望本文能對您了解PHP表單過濾與SQL注入防範有所幫助。

參考文獻：

1. PHP: filter_var - Manual. (n.d.). Retrieved from https://www.php.net/manual/en/function.filter-var. php
2. PHP: preg_replace - Manual. (n.d.). Retrieved from https://www.php.net/manual/en/function.preg-replace.php
3. SQL Injection. ( n.d.). Retrieved from https://www.owasp.org/index.php/SQL_Injection

以上是PHP表單過濾：SQL注入防範與過濾的詳細內容。更多資訊請關注PHP中文網其他相關文章！