PHP使用PDO实现mysql防注入功能详解

日期：2020-05-15 栏目：程序人生浏览：次

本文实例讲述了PHP使用PDO实现mysql防注入功能。分享给大家供大家参考，具体如下：

1、什么是注入攻击

例如下例：

前端有个提交表格：

  <form action="test.php" method="post">
    姓名：<input name="username" type="text">
    密码：<input name="password" type="password">
    <input type="submit" value="登陆">
  </form>

后台的处理如下：

<?php
  $username=$_POST["username"];
  $password=$_POST["password"];
  $age=$_POST["age"];
  //连接数据库，新建PDO对象
  $pdo=new PDO("mysql:host=localhost;dbname=phpdemo","root","1234");
  
  $sql="select * from login WHERE username='{$username}' AND password='{$password}' ";
  echo $sql;
  $stmt=$pdo->query($sql);
  //rowCount()方法返回结果条数或者受影响的行数
  if($stmt->rowCount()>0){ echo "登陆成功!"};

正常情况下，如果你输入姓名为小王，密码xiaowang，会登陆成功，sql语句如下：select * from login WHERE username='小王' AND password='xiaowang' 登陆成功！

但是如果你输入姓名为 ' or 1=1 #,密码随便输一个，也会登陆成功，sql语句为：select * from login WHERE username='' or 1=1 #' AND password='xiaowang' 登陆成功！

可以看到username='' or 1=1，#注释调了之后的password语句，由于 1=1恒成立，因此这条语句会返回大于1的结果集，从而使验证通过。

2、使用quote过滤特殊字符，防止注入

在sql语句前加上一行，将username变量中的‘等特殊字符过滤，可以起到防止注入的效果

//通过quote方法,返回带引号的字符串，过滤调特殊字符
$username=$pdo->quote($username);
$sql="select * from login WHERE username={$username} AND password='{$password}' ";
echo $sql;
$stmt=$pdo->query($sql);
//rowCount()方法返回结果条数或者受影响的行数
if($stmt->rowCount()>0){
  echo "登陆成功！";
};

sql语句为：select * from login WHERE username='\' or 1=1 #' AND password='xiaowang'

可以看到“'”被转义\'，并且自动为变量$username加上了引号

3、通过预处理语句传递参数，防注入

//通过占位符:username,:password传递值，防止注入
$sql="select * from login WHERE username=:username AND password=:password";
$stmt=$pdo->prepare($sql);
//通过statement对象执行查询语句，并以数组的形式赋值给查询语句中的占位符
$stmt->execute(array(':username'=>$username,':password'=>$password));
echo $stmt->rowCount();

转载注明出处：http://www.heiqu.com/4090.html

PHP使用PDO实现mysql防注入功能详解

相关推荐