Hoe om `n SQL-inspuiting in PHP te vermy

Met hierdie wikiHow-gids sal jy leer hoe om `n SQL-inspuiting te vermy met behulp van sinne wat in PHP voorberei is. Vandag is SQL-inspuitings een van die mees algemene kwesbaarhede van webtoepassings. Gereelde stellings gebruik gekoppelde parameters en kombineer nie veranderlikes met SQL-strings nie, wat dit onmoontlik maak vir `n aanvaller om `n SQL-stelling te verander.

Die voorbereide stellings kombineer die veranderlikes met die saamgestelde SQL-stellings. Op hierdie manier word die SQL-stellings en die veranderlikes afsonderlik gestuur. Die veranderlikes word dan as eenvoudige snare geïnterpreteer en nie as deel van `n SQL-stelling nie. As die metodes van die stappe wat hieronder verduidelik word, toegepas word, is dit nie nodig om enige ander tipe SQL-inspuiting-filtertegniek te gebruik nie, soos mysql_real_escape_string ().

stappe

$ name = $ _GET [`gebruikersnaam`] - $ query = "SELECT wagwoord VAN tbl_user WAAR naam = `$ name` "-

$ name = "admin `OF 1 = 1 - "- $ navraag = "SELECT wagwoord VAN tbl_user WAAR naam = `$ name` "-

SELECT wagwoord VAN tbl_users WAAR naam = `admin` OF 1 = 1 - `

$ name = $ _GET [`gebruikersnaam`] - as ($ stmt = $ mysqli->berei voor"SELECT wagwoord VAN tbl_users WAAR naam =?")) {// Sluit aan by `n veranderlike met die parameter as string $ stmt->bind_param ("s", $ name) - // Uitvoering van die sin $ stmt->uitvoer () - / Kry die veranderlikes van die navraag $ stmt->bind_result ($ pass) - // Vind die data $ stmt->haal () - / Wys die dataprintf ("Die gebruiker se wagwoord% s is% s n", $ naam, $ slaag) - // Sluit die voorbereide stelling $ stmt->naby () -}

• Nota: die veranderlike $ mysqli is die verbindingsvoorwerp van mySQLi.

2

Skep `n INSERT navraag met mySQLi. Gebruik die onderstaande kode om data (INSERT) in `n tabel in te voeg deur gebruik te maak van stellings wat met mySQLi voorberei is.

$ name = $ _GET [`gebruikersnaam`] - $ wagwoord = $ _GET [`password`] - as ($ stmt = $ mysqli->berei voor"INSERT IN tbl_users (naam, wagwoord) WAARDES (?,?)")) {// Koppel die veranderlikes na die parameter as snare $ stmt->bind_param ("ss", $ naam, $ wagwoord) - // Doen die sin $ stmt->voer () - / Sluit die voorbereide stelling $ stmt->naby () -}

3

Skep `n UPDATE navraag met mySQLi. Gebruik die onderstaande kode om die data (UPDATE) van `n tabel op te dateer deur gebruik te maak van stellings wat met mySQLi voorberei is.

$ name = $ _GET [`gebruikersnaam`] - $ wagwoord = $ _GET [`password`] - as ($ stmt = $ mysqli->berei voor"UPDATE tbl_users SET wagwoord =? WAAR naam =?")) {// Koppel die veranderlikes na die parameter as snare $ stmt->bind_param ("ss", $ wagwoord, $ naam) - // Doen die sin $ stmt->voer () - / Sluit die voorbereide stelling $ stmt->naby () -}

4

Skep `n DELETE navraag met mySQLi. Die kode hieronder toon hoe om data uit `n tabel te verwyder (DELETE) met behulp van stellings wat met mySQLi voorberei is.

$ name = $ _GET [`gebruikersnaam`] - $ wagwoord = $ _GET [`password`] - as ($ stmt = $ mysqli->berei voor"Vee uit tbl_users WAAR naam =?")) {// Sluit aan by `n veranderlike met die parameter as string $ stmt->bind_param ("s", $ name) - // Uitvoering van die sin $ stmt->voer () - / Sluit die voorbereide stelling $ stmt->naby () -}