PHP和SQL Server，如何保证安全？

Question

http://www.php.net/manual/en/book.mssql.php

我正在使用它从 LAMP 环境连接到 SQL Server。我注意到我没有像 prepared statements 和 real_escape_string 这样的 neet 函数。

如何使我的查询尽可能安全？任何帮助表示赞赏。

不要建议我使用 ODBC 或 PDO，我没有那个选项。我必须使用我拥有的东西来运行，那就是 MSSQL。

$con = mssql_connect ('xxx', 'xxx', 'xxx');

mssql_select_db('xxx', $con);

$qry = "SELECT 
            firstname
    FROM 
            person
    where firstname = '{$firstname}'";

$query = mssql_query($qry, $con);

Answer 1

不要使用文字，使用参数并将它们绑定到您的查询：

$con = mssql_connect ('xxx', 'xxx', 'xxx');
mssql_select_db('xxx', $con);
$qry = 'SELECT firstname
     FROM person
    where firstname = @firstname';
mssql_bind ($qry, '@firstname', $firstname, SQLVARCHAR);
$query = mssql_query($qry, $con);

Answer 2

MSSQL 绑定很好地支持准备好的语句。

文档是你的朋友。

Answer 3

您可以使用 htmlentities() 来将 html 元素转换为 html 实体，并且该函数接受第三个参数，用于转义单引号和双引号。

这是函数的签名：

string htmlentities ( string $string [, int $flags = ENT_COMPAT [, string $charset [, bool $double_encode = true ]]] )

以及第二个参数可能采用的参数：

ENT_COMPAT 将转换双引号并保留单引号。

ENT_QUOTES 将转换双引号和单引号。

ENT_NOQUOTES 将保留双引号和单引号不转换。

ENT_IGNORE 默默地丢弃无效的代码单元序列，而不是返回空字符串。 PHP 5.3.0 中添加。这是为了向后兼容而提供的；避免使用它，因为它可能会产生安全隐患。

并且

您可以简单地将addslashes()与htmlentities()一起使用

，还有另一个函数可以从字段中清除html标签，即< code>filter_var () ，这样的示例如下：

$return_value = filter_var($data_to_be_filtered,FILTER_SANITIZE_STRING);

重要

不要忘记检查 magic_quotes 是否启用。您可以通过编写以下内容来做到这一点：

if(get_magic_quotes_gpc())
    //do something

有关 magic_quotes 的更多信息： http://www.php.net/manual/en/info.configuration.php#ini.magic-quotes-gpc

编辑：

您可以使用准备好的-进行更安全的交易声明。它们可以防止 SQL 注入。

示例代码：

$db = new mysqli();
$db->real_connect($host,$username,$password,$db) or die("Cannot connect");
$query = "select name from users where id = ?";
$st = $db->prepare($query); //faster than normal query run
$st->bind_param("d",$id);
$st->execute();
$st->bind_result($name);
$st->fetch();
echo $name;

Answer 4

Mssql 不提供转义查询的函数。一种选择是使用“addslashes()”，尽管它有点难看（并且不包含所有内容）

这可能会有所帮助：如何使用 PHP 在 SQL Server 中转义字符串？