PHP代码网站如何防范SQL注入漏洞攻击建议分享

PHP代码网站如何防范代码网站如何防范SQL注入漏洞攻击建议分享注入漏洞攻击建议分享

所有的网站管理员都会关心网站的安全问题。说到安全就不得不说到SQL注入攻击（SQL Injection）

黑客通过SQL注入攻击可以拿到网站数据库的访问权限，之后他们就可以拿到网站数据库中所有的数据，恶意的黑客可以通过

SQL注入功能篡改数据库中的数据甚至会把数据库中的数据毁坏掉。做为网络开发者的你对这种黑客行为恨之入骨，当然也有

必要了解一下SQL注入这种功能方式的原理并学会如何通过代码来保护自己的网站数据库。今天就通过PHP和MySQL数据库

为例，分享一下我所了解的SQL注入攻击和一些简单的防范措施和一些如何避免SQL注入攻击的建议。

什么是SQL注入（SQL Injection）？

简单来说，SQL注入是使用代码漏洞来获取网站或应用程序后台的SQL数据库中的数据，进而可以取得数据库的访问权限。比

命令来读取用户信息。

复制代码 代码如下:

<?

$q = "SELECT `id` FROM `users` WHERE `username`= ' " .$_GET['username']. " ' AND `password`= ' " .$_GET['password'].

" ' ";

?>

现在有一个黑客想攻击你的数据库，他会尝试在此登录页面的用户名的输入框中输入以下代码：

' ; SHOW TABLES;

点击登陆键，这个页面就会显示出数据库中的所有表。如果他现在使用下面这行命令：

'; DROP TABLE [table name];

复制代码 代码如下:

<?

$q = "SELECT `id` FROM `users` WHERE `username`= ' " .mysql_real_escape_string( $_GET['username'] ). " ' AND

`password`= ' " .mysql_real_escape_string( $_GET['password'] ). " ' ";

?>

防范SQL注入 - 使用mysql_query()函数

mysql_query()的特别是它将只执行SQL代码的第一条，而后面的并不会执行。回想在最前面的例子中，黑客通过代码来例后

台执行了多条SQL命令，显示出了所有表的名称。所以mysql_query()函数可以取到进一步保护的作用。我们进一步演化刚才

的代码就得到了下面的代码：

复制代码 代码如下:

' AND `password`= ' " .mysql_real_escape_string( $_GET['password'] ). " ' ", $database);

?>

除此之外，我们还可以在PHP代码中判断输入值的长度，或者专门用一个函数来检查输入的值。所以在接受用户输入值的地

方一定要做好输入内容的过滤和检查。当然学习和了解最新的SQL注入方式也非常重要，这样才能做到有目的的防范。如果使

用的是平台式的网站系统如Wordpress，要注意及时打上官方的补丁或升级到新的版本。如果有讲得不对的地方或不理解的请

在评论区留言。