首页 / PHP / php安全之防注入详细介绍_PHP教程
php安全之防注入详细介绍_PHP教程
内容导读
互联网集市收集整理的这篇技术教程文章主要介绍了php安全之防注入详细介绍_PHP教程，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含3793字，纯文字阅读大概需要6分钟。
内容图文
我们知道Web上提交数据有两种方式，一种是get、一种是post，那么很多常见的sql注射就是从get方式入手的，而且注射的语句里面一定是包含一些sql语句的，因为没有sql语句，那么如何进行，sql语句有四大句：
select 、update、delete、insert那么我们如果在我们提交的数据中进行过滤是不是能够避免这些问题呢？
于是我们使用正则就构建如下函数：
| 代码如下 | |
|
/* function inject_check($sql_str) { return eregi('select|insert|update|delete|'|/*|*|../|./|union|into|load_file|outfile', $sql_str); // 进行过滤 }
|
|
我们函数里把 select,insert,update,delete, union, into, load_file, outfile /*, ./ , ../ , ' 等等危险的参数字符串全部过滤掉，那么就能够控制提交的参数了，程序可以这么构建：
| 代码如下 | |
|
if (inject_check($_GET['id'])) { exit('你提交的数据非法，请检查后重新提交！'); } else { $id = $_GET['id']; echo '提交的数据合法，请继续！'; } ?> |
|
假设我们提交URL为：a.php?id=1，那么就会提示：
"提交的数据合法，请继续！"
如果我们提交 a.php?id=1%27 select * from tb_name
就会出现提示："你提交的数据非法，请检查后重新提交！"
那么就达到了我们的要求。
但是，问题还没有解决，假如我们提交的是 a.php?id=1asdfasdfasdf 呢，我们这个是符合上面的规则的，但是呢，它是不符合要求的，于是我们为了可能其他的情况，我们再构建一个函数来进行检查：
| 代码如下 | |
|
/* function verify_id($id=null) { if (!$id) { exit('没有提交参数！'); } // 是否为空判断 elseif (inject_check($id)) { exit('提交的参数非法！'); } // 注射判断 elseif (!is_numeric($id)) { exit('提交的参数非法！'); } // 数字判断 $id = intval($id); // 整型化
return $id; }
if (inject_check($_GET['id'])) { exit('你提交的数据非法，请检查后重新提交！'); } else { $id = verify_id($_GET['id']); // 这里引用了我们的过滤函数，对$id进行过滤 echo '提交的数据合法，请继续！'; } ?> |
|
好，问题到这里似乎都解决了，但是我们有没有考虑过post提交的数据，大批量的数据呢？
比如一些字符可能会对数据库造成危害，比如 ' _ ', ' % '，这些字符都有特殊意义，那么我们如果进行控制呢？还有一点，就是当我们的php.ini里面的magic_quotes_gpc = off 的时候，那么提交的不符合数据库规则的数据都是不会自动在前面加' '的，那么我们要控制这些问题，于是构建如下函数：
| 代码如下 | |
|
/* function str_check( $str ) { if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否打开 { $str = addslashes($str); // 进行过滤 } $str = str_replace("_", "_", $str); // 把 '_'过滤掉 $str = str_replace("%", "%", $str); // 把' % '过滤掉
return $str; } |
|
OK，我们又一次的避免了服务器被沦陷的危险。
最后，再考虑提交一些大批量数据的情况，比如发贴，或者写文章、新闻，我们需要一些函数来帮我们过滤和进行转换，再上面函数的基础上，我们构建如下函数：
| 代码如下 | |
|
/* function post_check($post) { if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否为打开 { $post = addslashes($post); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤 } $post = str_replace("_", "_", $post); // 把 '_'过滤掉 $post = str_replace("%", "%", $post); // 把' % '过滤掉 $post = nl2br($post); // 回车转换 $post= htmlspecialchars($post); // html标记转换
return $post; } |
|
http://www.bkjia.com/PHPjc/629656.htmlwww.bkjia.comtruehttp://www.bkjia.com/PHPjc/629656.htmlTechArticle我们知道Web上提交数据有两种方式，一种是get、一种是post，那么很多常见的sql注射就是从get方式入手的，而且注射的语句里面一定是包含一...
内容总结
以上是互联网集市为您收集整理的php安全之防注入详细介绍_PHP教程全部内容，希望文章能够帮你解决php安全之防注入详细介绍_PHP教程所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。
内容备注
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。
内容手机端
扫描二维码推送至手机访问。