PHP与SQL注入攻击[三]

yipeiwu_com5年前PHP代码库
这几天太忙,继续连载哈哈,争取半个月结束。

上文说到数据库自带的不安全输入过滤功能,但这样的功能不是所有数据库都有的。目前大概只有MySQL,SQLite,PostgreSQL,Sybase带有这样的功能,而包括Oracle和SQL Server在内的很多数据库都没有。

鉴于这样的情况,一般开发者采用一种通用的方法来避免不安全的数据写入数据库--base64编码。这样可以避免所有可能引起问题的特殊字符造成的危险。但Base64编码后的数据容量大概会增加33%,比较占用空间。在PostgreSQL中,使用Base64编码数据还有个问题,就是无法使用'LIKE'查询。

所以总结这么多,我们知道光靠数据库自身的字符串屏蔽也是不行的。我们需要一种解决方案,在特殊字符影响到我们的Query语句之前,就把危险的字符过滤掉。预定义查询(Prepared queries/prepared statements)是一个非常好的方法。什么是预定义查询呢? 它就相当于一个查询语句的模板,定义了查询语句的结构和某些部份的数据类型。如果我们提交的SQL语句符合这个模板的定义,就执行,否则就不执行,报出错误。

例如:

pg_query($conn, “PREPARE stmt_name (text) AS SELECT * FROM users WHERE name=$1”);
pg_query($conn, “EXECUTE stmt_name ({$name})”);
pg_query($conn, “DEALLOCATE stmt_name”);

PREPARE stmt_name (text) AS ..定义了一个查询的格式,这里除了$1之外的所有字符都是占位符,不允许更改。呵呵,我觉得这种方法实在是个好方法。不过可惜不是所有数据库都支持。。

相关文章

php通过pecl方式安装扩展的实例讲解

1、安装pecl及创建快捷键(若安装php时已带可忽略这步安装步骤) # cd /usr/local/php/bin/ //可查看是否已带有pecl # wget http://...

JoshChen_php新手进阶高手不可或缺的规范介绍

PHP规范1. 为什么要编码规范•编码规范(code conventions)对于程序员而言尤为重要,有以下几个原因:1.在一个软件的生命周期中,80%的花费用于维护。 2....

PHP实现补齐关闭的HTML标签

本文实例讲述了PHP实现补齐关闭的HTML标签。分享给大家供大家参考,具体如下: 很多时候,在我们做文章截取摘要的时候,如果出现HTML的内容,会出现截取的文章没有结束的HTML标签。这...

php 中文和编码判断代码

编码范围1. GBK (GB2312/GB18030) \x00-\xff GBK双字节编码范围 \x20-\x7f ASCII \xa1-\xff 中文 \x80-\xff 中文 2....

几种有用的变型 PHP中循环语句的用法介绍

PHP手册中对它的语法定义如下:   for (expr1; expr2; expr3)   statement   下面说说for语句几种有用的变型。   1、无限循环   首先是人尽...