PHP之防御sql注入攻击的方式

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了PHP之防御sql注入攻击的方式，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含2162字，纯文字阅读大概需要4分钟。

内容图文

兄弟连（www.lampbrother.net）PHP大牛说过一句话，在一个程序中，60%的代码都应该是在进行各种防御。

其实，现在来看，防御sql注入其实并不需要进行各种参数过滤，以下将开启干货模式！

PHP5.x开始引入了一种新的mysql操作方式-----mysqli，在php中也有一项相应的操作方式叫做PHP预处理。采用面向对象的方式来进行参数化绑定操作，由于对数据库操作的模式驱动不同，因此可以非常有效的防御sql注入。

首先，我们先来看一段代码例子

php代码：

<!--?php

$root = "root";

$pwd = "root";

$host = "localhost";

$database =  "database";

$conn = new mysqli($host,$root,$pwd,$database);//面向对象的方式实例化一个对象

$keywords = $_GET[‘keywords‘];

$search_sql = "select content from mykey where title = ? ";//其中的?是一个占位符

$search_action = $conn --->prepare($search_sql);//进行预处理操作

$search_action ->bind_param("s",$keywords);//绑定参数，第一个参数表示为上面预处理的的占位符的数量和每一个参数的数据类型，s为字符串，i为整形，d为双精度小数，有几个参数，就写几个s或d或i，比如说iiii,ssss,sidi这样的。然后后面就是有几个参数就写几个要绑定的变量，比如bind_param(‘sss‘,$username,$password,$code);

$search_action ->bind_result($content);//将结果绑定在相对应的变量上，比如你select了username,password,你就可以写bind_result($usernmae,$password);

$search_action ->execute();//执行sql操作

while($search_action ->fetch()){

echo $content.‘<br>‘;

}

$search_action ->free_result();//释放内存

$search_action ->close();//结束这个实例化

?>

上面是php预处理中一个非常简单的例子，它内置的其他函数能很方便我们的开发速度，那么看到这里，很多人可能还是不明白，有人可能想问，你这个绑定参数是不是还是在拼凑sql语句？如果是拼凑语句，那还不是会产生注入吗？

这就要从他的操作原理来解释了，其实它在prepare操作中，就已经在数据库中，执行了语句，以后的绑定参数和执行，只不过是再传递数据进去而已，所以根本不会和sql语句拼接，也就自然不会将危险代码执行。因此，在这种模式下sql注入就能很有效的被防御了。

        在php预处理的类中有很多很好用的操作，具体的兄弟连将会在以后的文章中为大家总结一些常用的php预处理的开发语句。

PHP之防御sql注入攻击的方式

标签：数据库   php   php编程   兄弟连   php培训   

本文系统来源：http://11787831.blog.51cto.com/11777831/1829574

内容总结

以上是互联网集市为您收集整理的PHP之防御sql注入攻击的方式全部内容，希望文章能够帮你解决PHP之防御sql注入攻击的方式所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端