php+mysql网站预防SQL注入的一点小方法

最新推荐文章于 2023-11-12 23:31:10 发布

chenbalala

最新推荐文章于 2023-11-12 23:31:10 发布

阅读量1.6k

点赞数 1

CC 4.0 BY-SA版权

分类专栏： php 文章标签： php sql

本文链接：https://blog.youkuaiyun.com/chenbalala/article/details/52312528

php 专栏收录该内容

8 篇文章

订阅专栏

本文介绍了一些防止SQL注入的基本方法，包括关闭错误提示、验证数据类型和格式、避免使用字符串拼接构建SQL语句、过滤特殊字符及使用参数绑定等。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.最基本的就是要关闭网站的错误提示，php配置文件中设置display_errors = Off，一些集成环境的默认错误提示是On

2.一些查询，更新，插入时，最好先判断数据类型和数据格式，比如需要插入邮箱就只能是邮箱格式，不紧在前台要验证，在后台，以及操作数据库时更要验证

3.sql语句最好不要用拼接的方式来组合，最好不要自己写sql语句。

4.过滤特殊字符，常用的php函数有addslashes addcslashes htmlspecialchars等。

5.绑定参数，比如

$mysqli = new mysqli("localhost", "root", "123456", 'shop');
$sql = "SELECT * FROM admin WHERE supername=?";
$res = $mysqli->prepare($sql);
$res->bind_param("tttna", $supername);

使用php框架开发应用时尽量采用框架自带的参数绑定机制，比如thinkphp5中

Db::execute('insert into admin (supername,age) values (?, ?)', ['cheneee','99']);
$result = Db::query('select * from admin where supername = ?', ['cheneeee']);

以上只是防注入的一点简单方法