这是否可以阻止 sql 注入

Question

我一直在使用下面的代码块来阻止 sql 注入。这是我第一次启动 php 时（不久前）有人向我展示的东西，

我将它放在每个页面中，就像打开时显示的那样。我想知道是否有效？我不知道如何测试 sql 注入

<?php

//Start the session

session_start();


//=======================open connection

include ('lib/dbconfig.php');

//===============This stops SQL Injection in POST vars

  foreach ($_POST as $key => $value) {
    $_POST[$key] = mysql_real_escape_string($value);
  }

  foreach ($_GET as $key => $value) {
    $_GET[$key] = mysql_real_escape_string($value);
  }

我典型的插入和更新查询如下所示

$insert = ("'$email','$pw','$company', '$co_description', '$categroy', '$url', '$street', '$suite', '$city', '$state', '$zip', '$phone', '$date', '$actkey'");

mysql_query("INSERT INTO provider (email, pw, company, co_description, category, url, street, suite, city, state, zip, phone, regdate, actkey) VALUES ($insert)") or die ('error ' . mysql_error());

mysql_query("UPDATE coupon SET head='$_POST[head]', fineprint='$_POST[fineprint]', exdate='$exdate', creationdate=NOW() WHERE id='$cid'") or die ('error ' . mysql_error());

Answer 1

这有点有效，但并不是最理想的——并非所有在 _GET 和 _POST 中收到的数据都会进入数据库。有时您可能想将其显示在页面上，在这种情况下 mysql_real_escape_string 只会造成伤害（相反，您需要 htmlentities）。

我的经验法则是仅在将某些内容放入需要转义的上下文之前立即对其进行转义。

在这种情况下，您最好只使用参数化查询——然后转义就会自动完成。

Answer 2

这还不够。
1. 你缺少 cookies，$_COOKIE 变量。
2. 如果你使用$_REQUEST，你就有麻烦了。
3.您没有显示您的查询，当您将其放入查询中时，必须用单引号 '' 将每个变量引起来（特别是当数据假设为整数时，您可能认为在这种情况下不需要引号，但这将是一个很大的错误）。
4. 您的查询中使用的数据可能来自其他来源。

最好的方法是使用数据绑定并让驱动程序自动转义数据，这在 PDO 扩展中可用。

示例代码：

$PDO = new PDO('mysql:dbname=testdb;host=127.0.0.1' $user, $password);
$stmt = $PDO->prepare("SELECT * FROM test WHERE id=? AND cat=?");
$stmt->execute(array($_GET["id"], $_GET["cat"]));
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);

您还可以使用字符串键绑定数据：

$stmt = $PDO->prepare("SELECT * FROM test WHERE id = :id AND cat = :cat");
$stmt->execute(array(":id" => $_GET["id"], ":cat" => $_GET["cat"]));

如果您想学习 PDO，您可能会发现我使用的这些辅助函数很有用：

http://www.gosu.pl/var/PDO.txt

PDO_Connect(dsn, user, passwd) - connects and sets error handling.
PDO_Execute(query [, params]) - only execute query, do not fetch any data.
PDO_InsertId() - last insert id.

PDO_FetchOne(query [, params]) - fetch 1 value, $count = PDO_FetchOne("SELECT COUNT(*) ..");
PDO_FetchRow(query [, params]) - fetch 1 row.
PDO_FetchAll(query [, params]) - fetch all rows.
PDO_FetchAssoc(query [, params]) - returns an associative array, when you need 1 or 2 cols

1) $names = PDO_FetchAssoc("SELECT name FROM table");
the returned array is: array(name, name, ...)

2) $assoc = PDO_FetchAssoc("SELECT id, name FROM table")
the returned array is: array(id=> name, id=>name, ...)

3) $assoc = PDO_FetchAssoc("SELECT id, name, other FROM table");
the returned array is: array(id=> array(id=>'',name=>'',other=>''), id=>array(..), ..)

每个获取数据的函数都接受第二个参数参数数组（可选），用于针对 sql 自动数据绑定注射。它的使用已在本文前面介绍过。

Answer 3

有点儿。

mysql_real_escape_string 函数获取给定变量并对其进行转义以用于 SQL 查询。因此，您可以安全地将字符串附加到查询中，例如

$safe =  mysql_real_escape_string($unsafe_string);
$query = 'SELECT * FROM MyTable WHERE Name LIKE "' . $safe . '" LIMIT 1';

它不会保护您免受有人将恶意代码放入该查询中以供稍后显示（即 XSS 或类似攻击）。因此，如果有人将变量设置为

// $unsafe_string = '<script src="http://dangerous.org/script.js"></script>'
$safe =  mysql_real_escape_string($unsafe_string);
$query = 'UPDATE MyTable SET Name = "' . $safe . '"';

该查询将按您的预期执行，但现在在您打印此人姓名的任何页面上，他的脚本都将执行。

Answer 4

这是完全错误的做法。

事实上，您正在模仿臭名昭著的魔术引言，这被认为是一种不好的做法。尽管它有缺点和危险。

• 帮助您理解为什么最初的方式是错误的 PHP 中的魔法引号
• 帮助您理解为什么转义与“数据安全”无关，但不足以保护您的查询：替换 mysql_ * 带有 PDO 和准备好的语句的函数
• 帮助您了解准备好的语句何时不充分以及在这些情况下该怎么做：在 PHP 中，当向数据库提交字符串时，我应该使用 htmlspecialchars() 处理非法字符还是使用正则表达式？

Answer 5

这并不是为了防止 SQL 注入，真正的转义方法只是将 \ 添加到

像“或 ' 这样的危险字符，因此带有“hi”do'like”的字符串将变成“hi\”do\'like\”，因此

危险性较小

此方法并不总是有用；如果您想

在页面中显示转义变量的内容，它只会破坏它并使其可读性降低