防止sql注入的最佳实践是什么

Question

我做了一些研究，但仍然很困惑，这是我的研究结果。有人可以评论并建议我如何使这些变得更好，或者是否已经有一个我可以使用的坚如磐石的实现？

方法一：

array_map('trim', $_GET);
array_map('stripslashes', $_GET);
array_map('mysql_real_escape_string', $_GET);

方法二：

function filter($data) {
    $data = trim(htmlentities(strip_tags($data)));

    if (get_magic_quotes_gpc())
        $data = stripslashes($data);

    $data = mysql_real_escape_string($data);

    return $data;
}

foreach($_GET as $key => $value) {
    $data[$key] = filter($value);
}

Answer 1

您展示的两种方法都不推荐，

一揽子“清理”数据会适得其反，因为数据需要根据数据的使用方式以不同的方式进行清理：在数据库查询中使用它与在 HTML 中输出它需要不同的清理，或者将其用作命令行调用中的参数等。

进行清理的最佳方法是在使用数据之前立即进行。这样，程序员就可以轻松查看所有数据是否真正得到了清理。

如果您使用 mysql_* 系列函数，请对查询中使用的每个参数执行 mysql_real_escape_string()：

$safe_name = mysql_real_escape_string($_POST["name"]);
$safe_address = mysql_real_escape_string($_POST["address"]);

$result = mysql_query ("INSERT INTO table VALUES '$safe_name', '$safe_address'");

如果您使用 PDO 或 mysqli 函数系列，您可以使用参数化查询，这消除了大多数 SQL 注入问题 - 无论如何都是日常问题。

完全有可能使用 mysql_* 编写安全查询，也完全有可能在 PDO 查询中引入安全漏洞，但如果您是从头开始，请考虑立即使用 PDO 或 mysqli 。

仅当您计划以 HTML 形式输出用户输入的数据时才使用 strip_tags()；请注意，您需要执行额外的 htmlspecialchars() 才能可靠地防止 XSS 攻击。

唯一具有一定优点的一揽子卫生方法是

 if (get_magic_quotes_gpc())
    $data = stripslashes($data); 

过滤掉由早期版本的 PHP 现已弃用的“魔术引号”功能添加的转义层的调用。

Answer 2

我认为这已经足够了（编辑：对于 $data，我们在这里指的是例如表单中的一个文本字段， $_POST['example'] 等）：

if (get_magic_quotes_gpc())
    $data = stripslashes($data);

$data = mysql_real_escape_string($data);

我通常在收到 $_POST 或$_GET 数据（在输入测试之前）以及后者在 sql 查询编写之前或期间。

如果你愿意的话，可以额外修剪它（也许你并不总是想要那样）。然而，最好的解决方案是使用一些库来处理数据库。

Answer 3

您可以：

• 使用 mysql_real_escape_string （或 mysqli_variant）转义数据库的所有用户输入
• 使用准备好的语句（使用 mysqli_ 或 PDO）

请注意，如果可能，您应该关闭 magic_quotes。如果它已打开，则只需使用 stripslashes （如您的示例中所示），因为它已被弃用，您不应该依赖它。

另请注意，您不应该对不应插入数据库的数据执行此操作，因为它完全无用。

Answer 4

每当你处理 int 时，我都喜欢类型转换；
例如

$id=(int)$_GET['id'];
if($id<1){//I generally don't pass around 0 or negative numbers
    //Injection Attempt
    die('Go Away');
}
//Continue with the number I **know** is a number

Answer 5

好吧，在您的代码中，只有 mysql_real_escape_string() 函数与 SQL 注入相关。然而，完全错位了。
但这还不够。

事实上，这个函数应该只与带引号的字符串一起使用。
而且对其他一切都没用。因此，在任何其他情况下都应采取其他预防措施。

有关完整的解释，请参阅我之前的回答：在 PHP 中，当向数据库提交字符串时，我应该使用 htmlspecialchars() 处理非法字符还是使用正则表达式？

您使用的所有其他函数都没有关系完全转向 SQL。
请注意，同时使用 strip_tags 和 htmlentities 是多余的。并且 htmlentities 已过时。
我只使用 htmlspecialchars() 而不是这两个，并且不是在插入数据库之前，而是在将其发送到浏览器之前。