PHP进阶：H5站长SQL注入防护实战
|
SQL注入是Web安全中最古老也最危险的漏洞之一，H5站长若使用PHP动态拼接SQL语句，极易让攻击者通过恶意输入操控数据库。例如，登录时用 $sql = "SELECT FROM users WHERE username='$user' AND password='$pass'"，当$user传入 'admin'-- ，密码部分即被注释，绕过验证。
AI渲染的图片，仅供参考 最有效、最推荐的防护方式是使用PDO预处理语句。它将SQL结构与数据完全分离：先准备语句模板，再绑定参数值。代码示例：$pdo->prepare("SELECT FROM users WHERE id = ?"); $stmt->execute([$id]); 无论$id中含单引号、分号或union select，均作为纯数据处理，绝不会参与SQL语法解析。MySQLi同样支持预处理，写法略有不同但原理一致：$stmt = $mysqli->prepare("INSERT INTO logs(msg) VALUES(?)"); $stmt->bind_param("s", $msg); $stmt->execute(); 注意参数类型标识符（"s"代表字符串、"i"代表整型）必须准确，避免类型隐式转换引发绕过风险。 对无法使用预处理的极少数场景（如动态表名、字段名），必须严格白名单校验。例如：$allowed_tables = ['news', 'products', 'users']; if (!in_array($table, $allowed_tables)) die('Invalid table'); 绝对禁止用addslashes()、mysql_real_escape_string()（已废弃）或正则过滤替代预处理。 数据库连接务必限制权限。H5站点应用账号不应拥有DROP、CREATE、LOAD_FILE等高危权限，生产环境建议仅授予SELECT、INSERT、UPDATE、DELETE及必要索引操作权限。配合最小权限原则，即使注入得逞，破坏范围也大幅受限。 开启PHP错误报告会暴露数据库结构，应在生产环境禁用display_errors，改用error_log记录；同时配置PDO的错误模式为PDO::ERRMODE_EXCEPTION，使异常可控可捕获，避免敏感信息回显到前端。 养成编码习惯：所有外部输入（GET、POST、COOKIE、HTTP头、文件名、甚至$_SERVER变量）都视为不可信数据；每次数据库交互前默念“是否预处理”；定期用SQLMap等工具进行黑盒扫描，并结合代码审计复查关键查询点。安全不是功能，而是贯穿开发全程的肌肉记忆。 （编辑：汽车网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
