当前位置：文江博客话题详情

PHP 保护自己免受 SQL 注入？

发布于 2024-07-15 18:27:47 字数 305 浏览 4 评论 0原文

当我将 ");-- 从输入字段发送到我的本地 PHP 服务器时，它会自动将其转换为

\");--

看起来很棒，只是我不知道这种行为有多值得信赖。虽然看起来是避免了SQL注入，但是我的开发环境和生产环境不一样，恐怕生产环境可能没有自动激活这种保护……

为什么PHP要这样做（不转换输入）必须使用 mysql_real_escape_string ）？它总是这样做还是只使用某些扩展？依靠这种行为来防止 SQL 注入安全吗？

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

段念尘 2024-07-22 18:27:47

您似乎已启用Magic Quotes。但您最好禁用此选项或恢复它们。 mysql_real_escape_string 更安全。

回复收藏 0 原文

如此安好 2024-07-22 18:27:47

PHP 的这一“功能”被称为“魔术引号”。尽管它们可能很“神奇”，但使用它们是极其糟糕的做法，因为它们只会给人一种错误的安全感。值得庆幸的是，它们已从 PHP 6（正在开发中）中删除。

更详细的批评列表可以在这篇维基百科文章中找到。

PHP 手册描述了禁用魔术引号的各种方法。

回复收藏 0 原文

温柔嚣张 2024-07-22 18:27:47

您可能想使用抽象层与数据库进行对话，例如 Zend_Db。例如，如果您通过实例化 Zend_Db_Select 来创建 select 语句，它将如下所示：

//$_GET['thing'] is automatically escaped 
$select = $zdb->select()->from('things')->where('name = ?',$_GET['thing']);
$result = $zdb->fetchRow($select->__toString());//__toString generates a really pretty, vendor independent query

//a plain vanilla query would look like this:
$result = $zdb->fetchRow('select * from things where name = ?', $zdb->quote($_GET['thing']);

You might want to get into talking to the database using an abstraction layer like Zend_Db. For example, if you create a select statement by instantiating a Zend_Db_Select, it would look like this:

//$_GET['thing'] is automatically escaped 
$select = $zdb->select()->from('things')->where('name = ?',$_GET['thing']);
$result = $zdb->fetchRow($select->__toString());//__toString generates a really pretty, vendor independent query

//a plain vanilla query would look like this:
$result = $zdb->fetchRow('select * from things where name = ?', $zdb->quote($_GET['thing']);

回复收藏 0 原文