PHP的查询处理怎么防止SQL注入
一淘模板(56admin.com)给大家带来了关于php的相关知识,其中主要跟大家聊一聊什么是预处理语句?PHP的预处理查询是如何防止SQL注入的?感兴趣的朋友下面一起来看一下吧,对大家有帮助。
PHP的预处理查询是如何防止SQL注入的?
目前最有效的防止 sql 注入的方式使用预处理语句和参数化查询。
以最常用的 PHP PDO 扩展为例。
什么是预处理语句?
可以把它看作是想要运行的 SQL 的一种编译过的模板,它可以使用变量参数进行定制。
预处理语句的两大好处:
1;查询仅需解析(或预处理)一次,但可以用相同或不同的参数执行多次。当查询准备好后,数据库将分析、编译和优化执行该查询的计划。对于复杂的查询,此过程要花费较长的时间,如果需要以不同参数多次重复相同的查询,那么该过程将大大降低应用程序的速度。通过使用预处理语句,可以避免重复分析 / 编译 / 优化周期。简言之,预处理语句占用更少的资源,因而运行得更快。
2.提供给预处理语句的参数不需要用引号括起来,驱动程序会自动处理。如果应用程序只使用预处理语句,可以确保不会发生 SQL 注入。(然而,如果查询的其他部分是由未转义的输入来构建的,则仍存在 SQL 注入的风险)。
PDO 的特性在于驱动程序不支持预处理的时候,PDO 将模拟处理,此时的预处理-参数化查询过程在 PDO 的模拟器中完成。PDO 模拟器根据 DSN 中指定的字符集对输入参数进行本地转义,然后拼接成完整的 SQL 语句,发送给 MySQL 服务端。
所以,PDO 模拟器能否正确的转义输入参数,是拦截 SQL 注入的关键。
小于 5.3.6 的 PHP 版本,DSN (Data Source Name) 是默认忽略 charset 参数的。这时如果使用 PDO 的本地转义,仍然可能导致 SQL 注入。
因此,像 Laravel 框架底层会直接设置 PDO::ATTR_EMULATE_PREPARES=false,来确保 SQL 语句和参数值在被发送到 MySQL 服务器之前不会被 PHP 解析。
PHP 的实现
// 查询
$calories = 150;
$colour = 'red';
$sth = $dbh->prepare('SELECT name, colour, calories FROM fruit WHERE calories < :calories AND colour = :colour');
$sth->bindValue(':calories', $calories, PDO::PARAM_INT);
$sth->bindValue(':colour', $colour, PDO::PARAM_STR);
$sth->execute();
// 插入,修改,删除
$preparedStmt = $db->prepare('INSERT INTO table (column) VALUES (:column)');
$preparedStmt->execute(array(':column' => $unsafeValue));
Laravel 的底层实现
// 查询的实现
public function select($query, $bindings = [], $useReadPdo = true)
{
return $this->run($query, $bindings, function ($query, $bindings) use ($useReadPdo) {
if ($this->pretending()) {
return [];
}
$statement = $this->prepared(
$this->getPdoForSelect($useReadPdo)->prepare($query)
);
$this->bindValues($statement, $this->prepareBindings($bindings));
$statement->execute();
return $statement->fetchAll();
});
}
// 修改删除的实现
public function affectingStatement($query, $bindings = [])
{
return $this->run($query, $bindings, function ($query, $bindings) {
if ($this->pretending()) {
return 0;
}
$statement = $this->getPdo()->prepare($query);
$this->bindValues($statement, $this->prepareBindings($bindings));
$statement->execute();
$this->recordsHaveBeenModified(
($count = $statement->rowCount()) > 0
);
return $count;
});
}
相关文章
- 蓝牙5.0对物联网应用的影响
- 字节面试:连接一个不存在的 IP 地址,会发生什么?
- 英特尔为量子计算开发者发布软件平台,帮助构建量子算法
- 游戏网络可以使用CAT 5电缆吗?以下是你需要知道的
- 2023年关于云计算创新的预测
- 基于事件感知的聚类增益网络在飞猪保险创意排序的应用
- 盘点那些超好用的创作AI艺术图片的工具
- K8s 原生支持的准入策略管理
- 2022年第十七届中国企业年终评选榜单揭晓:宏杉科技MacroCosm27000万象分布式存储斩获2022年度中国IT行业超大规模分布式存储优秀产品奖
- 美团、字节、百度纷纷发布绘画AI产品,AI绘画有多惊艳?
- 2023年展望:5G、私有LTE和eSIM
- 曝马斯克正招募 AI 团队欲开发 ChatGPT 竞品,原 DeepMind 研究员领衔
- 紫光云持续构建 “云数智”三维能力,让云与智能无处不在
- 人工智能如何塑造体育场安全
- 绿色云计算:帮助企业减少碳足迹
- 必应集成AI对话,调查称不少用户开始弃用谷歌
- 推出先进大型语言模型 Meta官宣深入AI大战
- 2022年第十七届中国企业年终评选榜单揭晓:VMware Cross-Cloud™ Services (VMware跨云服务)荣获2022年度IT行业先进跨云服务方案奖
- 人工智能和云技术使失业保险更容易领取
- 这也能考虑到?TCP 有点牛