如果用户输入未经修改就插入到SQL查询中,则应用程序很容易受到SQL注入的攻击,如下例所示:

$unsafe_variable = $_POST['user_input']; 

mysql_query("INSERT INTO `table` (`column`) VALUES ('$unsafe_variable')");

这是因为用户可以输入类似值的内容);DROP TABLE表;--,并且查询变为:

INSERT INTO `table` (`column`) VALUES('value'); DROP TABLE table;--')

可以采取什么措施防止这种情况发生?


当前回答

我建议使用PDO(PHP数据对象)运行参数化SQL查询。

这不仅可以防止SQL注入,还可以加快查询速度。

而且,通过使用PDO而不是mysql_、mysqli_和pgsql_函数,可以使应用程序从数据库中抽象出一点,这是很少需要切换数据库提供程序的情况。

其他回答

无论使用哪个数据库,避免SQL注入攻击的正确方法都是将数据与SQL分离,这样数据就不会被SQL解析器解释为命令。可以使用正确格式化的数据部分创建SQL语句,但如果您不完全了解详细信息,则应始终使用准备好的语句和参数化查询。这些是SQL语句,与任何参数分开发送到数据库服务器并由其解析。这样,攻击者就不可能注入恶意SQL。

你基本上有两种选择来实现这一点:

使用PDO(适用于任何受支持的数据库驱动程序):$stmt=$pdo->prepare('SELECT*FROM employees WHERE name=:name');$stmt->execute(['name'=>$name]);foreach($stm作为$row){//用$row做点什么}使用MySQLi(用于MySQL):

由于PHP 8.2+,我们可以使用execute_query(),它在一个方法中准备、绑定参数和执行SQL语句:

$result = $dbConnection->execute_query('SELECT * FROM employees WHERE name = ?', [$name]);

while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

PHP8.1之前:

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name); // 's' specifies the variable type => 'string'
$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // Do something with $row
}

如果要连接到MySQL以外的数据库,则可以参考一个特定于驱动程序的第二个选项(例如,PostgreSQL的pg_prepare()和pg_execute())。PDO是通用选项。


正确设置连接

PDO

注意,当使用PDO访问MySQL数据库时,默认情况下不会使用真正准备好的语句。要解决此问题,必须禁用对已准备语句的模拟。使用PDO创建连接的示例如下:

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8mb4', 'user', 'password');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

在上面的示例中,错误模式并不是绝对必要的,但建议添加它。这样PDO将通过抛出PDOException通知您所有MySQL错误。

然而,第一行setAttribute()是必需的,它告诉PDO禁用模拟的准备语句并使用真正的准备语句。这可以确保在将语句和值发送到MySQL服务器之前,PHP不会对其进行解析(使攻击者没有机会注入恶意SQL)。

尽管您可以在构造函数的选项中设置字符集,但需要注意的是,PHP的“旧”版本(5.3.6之前)会默默忽略DSN中的字符集参数。

Mysqli公司

对于mysqli,我们必须遵循相同的程序:

mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); // error reporting
$dbConnection = new mysqli('127.0.0.1', 'username', 'password', 'test');
$dbConnection->set_charset('utf8mb4'); // charset

解释

传递给准备的SQL语句由数据库服务器解析和编译。通过指定参数(在上面的示例中为?或命名参数,如:name),您可以告诉数据库引擎要过滤的位置。然后,当您调用execute时,准备好的语句将与您指定的参数值组合在一起。

这里重要的一点是,参数值与编译语句组合,而不是SQL字符串。SQL注入的工作原理是,当脚本创建要发送到数据库的SQL时,诱使脚本包含恶意字符串。因此,通过将实际的SQL与参数分开发送,可以限制出现意外情况的风险。

在使用准备好的语句时发送的任何参数都将被视为字符串(当然,数据库引擎可能会进行一些优化,因此参数也可能以数字结尾)。在上面的示例中,如果$name变量包含“Sarah”;DELETE FROM employees(从员工中删除)结果只需搜索字符串“‘Arah’;DELETE FROM employees”,您不会得到空表。

使用准备好的语句的另一个好处是,如果您在同一会话中多次执行同一语句,那么它只会被解析和编译一次,从而提高了速度。

哦,既然您询问了如何为插入操作,这里有一个示例(使用PDO):

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute([ 'column' => $unsafeValue ]);

准备好的语句可以用于动态查询吗?

虽然您仍然可以为查询参数使用准备好的语句,但动态查询本身的结构不能参数化,某些查询功能也不能参数化。

对于这些特定的场景,最好使用白名单过滤器来限制可能的值。

// Value whitelist
// $dir can only be 'DESC', otherwise it will be 'ASC'
if (empty($dir) || $dir !== 'DESC') {
   $dir = 'ASC';
}

安全警告:此答案不符合安全最佳实践。转义不足以防止SQL注入,请改用准备好的语句。使用以下概述的策略,风险自负。(此外,在PHP7中删除了mysql_real_ascape_string()。)

警告:mysql扩展名此时被删除。我们建议使用PDO扩展

使用此PHP函数mysql_escape_string(),您可以快速获得良好的预防效果。

例如:

SELECT * FROM users WHERE name = '".mysql_escape_string($name_from_html_form)."'

mysql_escape_string-转义用于mysql_query的字符串

为了更好地预防,您可以在末尾添加。。。

wHERE 1=1   or  LIMIT 1

最后你得到:

SELECT * FROM users WHERE name = '".mysql_escape_string($name_from_html_form)."' LIMIT 1

一个简单的方法是使用像CodeIgniter或Laravel这样的PHP框架,它具有内置的过滤和活动记录等功能,因此您不必担心这些细微差别。

不推荐的警告:这个答案的示例代码(与问题的示例代码一样)使用了PHP的MySQL扩展,该扩展在PHP 5.5.0中被弃用,在PHP 7.0.0中被完全删除。安全警告:此答案不符合安全最佳实践。转义不足以防止SQL注入,请改用准备好的语句。使用以下概述的策略,风险自负。(此外,在PHP7中删除了mysql_real_ascape_string()。)重要的防止SQL注入的最佳方法是使用Prepared语句而不是转义,正如公认的答案所示。有Aura.Sql和EasyDB这样的库可以让开发人员更容易地使用准备好的语句。若要了解更多有关为什么准备好的语句更善于停止SQL注入的信息,请参阅此mysql_real_ascape_string()旁路以及最近修复的WordPress中的Unicode SQL注入漏洞。

注入预防-mysql_real_ascape_string()

PHP有一个专门制作的函数来防止这些攻击。您所需要做的就是使用一个函数,mysql_real_aescape_string。

mysql_real_aescape_string获取一个将在mysql查询中使用的字符串,并返回同一个字符串,所有SQL注入尝试都安全逃脱。基本上,它会将用户可能输入的那些麻烦的引号(')替换为MySQL安全的替代品,即转义引号“”。

注意:您必须连接到数据库才能使用此功能!

//连接到MySQL

$name_bad = "' OR 1'"; 

$name_bad = mysql_real_escape_string($name_bad);

$query_bad = "SELECT * FROM customers WHERE username = '$name_bad'";
echo "Escaped Bad Injection: <br />" . $query_bad . "<br />";


$name_evil = "'; DELETE FROM customers WHERE 1 or username = '"; 

$name_evil = mysql_real_escape_string($name_evil);

$query_evil = "SELECT * FROM customers WHERE username = '$name_evil'";
echo "Escaped Evil Injection: <br />" . $query_evil;

您可以在MySQL-SQL注入预防中找到更多详细信息。

这个问题的简单替代方案可以通过在数据库本身中授予适当的权限来解决。例如:如果您使用的是MySQL数据库,则通过终端或提供的UI输入数据库,然后执行以下命令:

 GRANT SELECT, INSERT, DELETE ON database TO username@'localhost' IDENTIFIED BY 'password';

这将限制用户只能受限于指定的查询。删除删除权限,这样数据就永远不会从PHP页面发出的查询中删除。第二件事是刷新特权,以便MySQL刷新权限和更新。

FLUSH PRIVILEGES; 

有关刷新的详细信息。

要查看用户的当前权限,请启动以下查询。

select * from mysql.user where User='username';

了解更多有关GRANT的信息。