首页 / PHP / 如何安全过滤用户提交的数据提交到数据库

如何安全过滤用户提交的数据提交到数据库

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了如何安全过滤用户提交的数据提交到数据库，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1173字，纯文字阅读大概需要2分钟。

内容图文

sql注入总是无孔不入（ps：' or 1=1#），该如何安全的过滤好呢（我用的php和mysql_connect）?

回复内容：

sql注入总是无孔不入（ps：' or 1=1#），该如何安全的过滤好呢（我用的php和mysql_connect）?

可以使用 mysql_real_escape_string() 对字符串进行转义，然后再放进 SQL。 

$name = mysql_real_escape_string($_POST['name']);
mysql_query('SELECT * FROM `users` WHERE `name` = "'.$name.'"');

//改进版。防 SQL 注入，同时屏蔽 _ 和 % 字符
function escape($str) {
  $str = mysql_real_escape_string($str);
  $str = str_replace(['_', '%'], ['\\_', '\\%'], $str);
  return $str;
}

这里有官方介绍：http://www.php.com/manual/zh/function.mysql-real-escape-string.php

个人建议还是使用一个WEB框架，常见的WEB框架都有完善的防注入机制。
例如：
简单、快速入门的：CodeIgniter
功能更全面的：Yii (这个官网有时会被墙）

select * from users where name = @name

参数化查询（Parameterized Query 或 Parameterized Statement）是访问数据库时，在需要填入数值或数据的地方，使用参数 (Parameter) 来给值。

在使用参数化查询的情况下，数据库服务器不会将参数的内容视为SQL指令的一部份来处理，而是在数据库完成SQL指令的编译后，才套用参数运行，因此就算参数中含有指令，也不会被数据库运行。Access、SQL Server、MySQL、SQLite等常用数据库都支持参数化查询。

内容总结

以上是互联网集市为您收集整理的如何安全过滤用户提交的数据提交到数据库全部内容，希望文章能够帮你解决如何安全过滤用户提交的数据提交到数据库所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/234631.html

来源：【匿名】