PDO通过预处理语句防止sql注入

最新推荐文章于 2023-05-03 14:24:19 发布

我不是关伯兰

最新推荐文章于 2023-05-03 14:24:19 发布

阅读量518

点赞数

CC 4.0 BY-SA版权

分类专栏： PHP pdo

本文链接：https://blog.youkuaiyun.com/li15175056281/article/details/90580438

PHP 同时被 2 个专栏收录

12 篇文章

订阅专栏

pdo

4 篇文章

订阅专栏

博客介绍简单登录页面防注入相关内容。先在数据库test中建表并插入数据，展示登入界面。先正常编写check.php页面，未做处理时输入注入语句可成功注入；后更换为预处理语句（占位符），再次输入注入语句则无法注入，实现防注入。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

简单登录页面防注入

数据库：test；

建表

CREATE TABLE USER(
	id INT UNSIGNED AUTO_INCREMENT KEY,
	username VARCHAR(20) NOT NULL,
	password CHAR(32) NOT NULL,
	email CHAR(32) NOT NULL
);

向表中插入一条数据：

INSERT INTO user(username,password,email) VALUES('user','root','123@qq.com');

登入界面：

<!DOCTYPE html>
	<html lang="en">
<head>
	<meta charset="UTF-8">
	<title>login</title>
</head>
<body>
	<form action="check.php" method="post" accept-charset="utf-8">
		用户名:<input type="text" name="username"><br>
		密 码:<input type="password" name="psw"><br>
		<input type="submit"value="提交"> 
	</form>
</body>
</html>

1.首先先正常编写check.php页面，不做任何处理。

header('content-type:text/html;charset=utf-8');
$username=$_POST['username'];
$psw=$_POST['psw'];
try {
	$pdo=new PDO('mysql:host=localhost;dbname=test','root','root');
	$sql="select * from user where username='{$username}' and password='{$psw}'";
	$stmt=$pdo->query($sql);//返回结果集中的行数echo 
	$stmt->rowCount();
} catch (Exception $e) {
	echo $e->getMessage();
}

执行操作
输入正确的用户名：user 密码：root
结果：1（因为查询到一条记录通过echo rowCount()输出）
输入错误的用户名或密码
结果：0
输入注入语句
用户名：'or 1=1 # 密码：随便写结果：1

2.更换为预处理语句（占位符）

第一种

header('content-type:text/html;charset=utf-8');
$username=$_POST['username'];
$psw=$_POST['psw']; 
try {
	$pdo=new PDO('mysql:host=localhost;dbname=test','root','root');  
	$sql="select * from user where username=:username and password=:psw";  
	$stmt=$pdo->prepare($sql);  
	$stmt->execute(array(":username"=>$username,":psw"=>$psw)); 
	echo $stmt->rowCount(); 
} catch (Exception $e) {  
	echo $e->getMessage();
}

第二种

header('content-type:text/html;charset=utf-8');
$username=$_POST['username'];
$psw=$_POST['psw']; 
try {  
	$pdo=new PDO('mysql:host=localhost;dbname=test','root','root');  
	$sql="select * from user where username=? and password=?";  
	$stmt=$pdo->prepare($sql);  
	$stmt->execute(array($username,$psw));  
	echo $stmt->rowCount(); 
} catch (Exception $e) {  
	echo $e->getMessage(); 
}