PHP防范SQL注入的具体方法详解(测试通过)


Posted in PHP onMay 09, 2014

一个优秀的PHP程序员除了要能顺利的编写代码,还需要具备使程序处于安全环境下的能力。今天我们要向大家讲解的是有关PHP防范SQL注入的相关方法。

说到网站安全就不得不提到SQL注入(SQL Injection),如果你用过ASP,对SQL注入一定有比较深的理解,PHP的安全性相对较高,这是因为MYSQL4以下的版本不支持子语句,而且当php.ini里的 magic_quotes_gpc 为On 时。

提交的变量中所有的 ' (单引号), " (双引号), \ (反斜线) and 空字符会自动转为含有反斜线的转义字符,给SQL注入带来不少的麻烦。

请看清楚:“麻烦”而已~这并不意味着PHP防范SQL注入,书中就讲到了利用改变注入语句的编码来绕过转义的方法,比如将SQL语句转成ASCII编码(类似:char(100,58,92,108,111,99,97,108,104,111,115,116…)这样的格式),或者转成16进制编码,甚至还有其他形式的编码,这样以来,转义过滤便被绕过去了,那么怎样防范呢:

a. 打开magic_quotes_gpc或使用addslashes()函数

在新版本的PHP中,就算magic_quotes_gpc打开了,再使用addslashes()函数,也不会有冲突,但是为了更好的实现版本兼容,建议在使用转移函数前先检测magic_quotes_gpc状态,或者直接关掉,代码如下:

PHP防范SQL注入的代码

// 去除转义字符   
function stripslashes_array($array) {   
if (is_array($array)) {   
foreach ($array as $k => $v) {   
$array[$k] = stripslashes_array($v);   
}   
} else if (is_string($array)) {   
$array = stripslashes($array);   
}   
return $array;   
}   
@set_magic_quotes_runtime(0);   
// 判断 magic_quotes_gpc 状态   
if (@get_magic_quotes_gpc()) {   
$_GET = stripslashes_array($_GET);   
$_POST = stripslashes_array($_POST);   
$_COOKIE = stripslashes_array($_COOKIE);   
}

去除magic_quotes_gpc的转义之后再使用addslashes函数,代码如下:

PHP防范SQL注入的代码

$keywords = addslashes($keywords); 
$keywords = str_replace("_","\_",$keywords);//转义掉”_” 
$keywords = str_replace("%","\%",$keywords);//转义掉”%”

后两个str_replace替换转义目的是防止黑客转换SQL编码进行攻击。

b. 强制字符格式(类型)

在很多时候我们要用到类似xxx.php?id=xxx这样的URL,一般来说$id都是整型变量,为了防范攻击者把$id篡改成攻击语句,我们要尽量强制变量,代码如下:

PHP防范SQL注入的代码

$id=intval($_GET['id']);

当然,还有其他的变量类型,如果有必要的话尽量强制一下格式。

c. SQL语句中包含变量加引号

这一点儿很简单,但也容易养成习惯,先来看看这两条SQL语句:

SQL代码

SELECT * FROM article WHERE articleid='$id' 
SELECT * FROM article WHERE articleid=$id

两种写法在各种程序中都很普遍,但安全性是不同的,第一句由于把变量$id放在一对单引号中,这样使得我们所提交的变量都变成了字符串,即使包含了正确的SQL语句,也不会正常执行,而第二句不同,由于没有把变量放进单引号中,那我们所提交的一切,只要包含空格,那空格后的变量都会作为SQL语句执行,因此,我们要养成给SQL语句中变量加引号的习惯。

d.URL伪静态化

URL伪静态化也就是URL重写技术,像Discuz!一样,将所有的URL都rewrite成类似xxx-xxx-x.html格式,既有利于SEO,又达到了一定的安全性,也不失为一个好办法。但要想实现PHP防范SQL注入,前提是你得有一定的“正则”基础。

PHP 相关文章推荐
仿AS3实现PHP 事件机制实现代码
Jan 27 PHP
域名和cookie问题(域名后缀)
Oct 10 PHP
php加密解密函数authcode的用法详细解析
Oct 28 PHP
php实现的css文件背景图片下载器代码
Nov 11 PHP
PHP中使用CURL获取页面title例子
Jan 07 PHP
SESSION存放在数据库用法实例
Aug 08 PHP
详解PHP原生DOM对象操作XML的方法
Oct 17 PHP
PHP实现基于回溯法求解迷宫问题的方法详解
Aug 17 PHP
PHP创建自己的Composer包方法
Apr 09 PHP
php的RSA加密解密算法原理与用法分析
Jan 23 PHP
phpQuery采集网页实现代码实例
Apr 02 PHP
Thinkphp极验滑动验证码实现步骤解析
Nov 24 PHP
简单的php新闻发布系统教程
May 09 #PHP
php下载文件源代码(强制任意文件格式下载)
May 09 #PHP
php中curl、fsocket、file_get_content三个函数的使用比较
May 09 #PHP
win7计划任务定时执行PHP脚本设置图解
May 09 #PHP
关于php支持分块与断点续传文件下载功能代码
May 09 #PHP
PHP程序员基本要求和必备技能
May 09 #PHP
Windows中使用计划任务自动执行PHP程序实例
May 09 #PHP
You might like
ecshop 订单确认中显示省市地址信息的方法
2010/03/15 PHP
PHP对文件进行加锁、解锁实例
2015/01/23 PHP
PHP数组操作――获取数组最后一个值的方法
2015/04/14 PHP
PHP实现GIF图片验证码
2015/11/04 PHP
PHP消息队列实现及应用详解【队列处理订单系统和配送系统】
2019/05/20 PHP
JavaScript中两种链式调用实现代码
2011/01/12 Javascript
javascript算法学习(直接插入排序)
2011/04/12 Javascript
TimergliderJS 一个基于jQuery的时间轴插件
2011/12/07 Javascript
JavaScript作用域与作用域链深入解析
2013/12/06 Javascript
判断文件是否正在被使用的JS代码
2013/12/21 Javascript
Jquery实现仿京东商城省市联动菜单
2015/11/19 Javascript
jquery自定义右键菜单、全选、不连续选择
2016/03/01 Javascript
jQuery toggle 代替方法
2016/03/22 Javascript
不使用script导入js文件的几种方法
2016/10/27 Javascript
jQuery扇形定时器插件pietimer使用方法详解
2017/07/18 jQuery
10个在JavaScript开发中常遇到的BUG
2017/12/18 Javascript
JS使用百度地图API自动获取地址和经纬度操作示例
2019/04/16 Javascript
vue-cli配置flexible过程详解
2019/07/04 Javascript
layui.tree组件的使用以及搜索节点功能的实现
2019/09/26 Javascript
js实现滑动进度条效果
2020/08/21 Javascript
Vue使用v-viewer实现图片预览
2020/10/21 Javascript
ajax jquery实现页面某一个div的刷新效果
2021/03/04 jQuery
python 检查文件mime类型的方法
2018/12/08 Python
Python在图片中插入大量文字并且自动换行
2019/01/02 Python
win10系统下python3安装及pip换源和使用教程
2020/01/06 Python
Python在终端通过pip安装好包以后在Pycharm中依然无法使用的问题(三种解决方案)
2020/03/10 Python
Python类的继承super相关原理解析
2020/10/22 Python
python中entry用法讲解
2020/12/04 Python
OpenCV+Python3.5 简易手势识别的实现
2020/12/21 Python
英国在线泳装店:Simply Swim
2019/05/05 全球购物
介绍Java的内部类
2012/10/27 面试题
工商管理本科毕业生求职信范文
2013/10/05 职场文书
高中同学聚会邀请函
2014/01/11 职场文书
应聘教师求职信
2014/07/19 职场文书
永不妥协观后感
2015/06/10 职场文书
如何使用pdb进行Python调试
2021/06/30 Python