在PHP中全面阻止SQL注入式攻击之三

作者佚名技术来源 NET编程浏览发布时间 2012-05-25

造和执行查询。而且，它也非常准确地提供了前面使用我们自己的safe()函数所实现的功能。

　　在上面的片断中，首先收集用户提交的输入内容并建立数据库连接。然后，使用mysqli_prepare()函数创建一个查询语句源-在此命名为$stmt以反映使用它的函数的名称。这个函数使用了两个参数：连接资源和一个字符串（每当你使用扩展插入一个值时，"?"标记被插入到其中）。在本例中，你仅有一个这样的值-动物的名字。

　　注意，在一个SELECT语句中，放置"?"标记的唯一的有效位置是在值比较部分。这正是为什么你不需要指定使用哪个变量的原因（除了在mysqli_stmt_bind_param()函数中之外）。在此，你还需要指定它的类型-在本例中，"s"代表字符串。其它可能的类型有："I"代表整数，"d"代表双精度数(或浮点数)，而"b"代表二进制字符串。

　　函数mysqli_stmt_execute()，mysqli_stmt_bind_result()和mysqli_stmt_fetch()负责执行查询并检索结果。如果存在检索结果，则显示它们；如果不存在结果，则显示一条无害的消息。最后，你需要关闭$stmt资源以及数据库连接-从内存中对它们加以释放。

　　假定一个合法的用户输入了字符串"lemming"，那么这个例程将(假定是数据库中适当的数据)输出消息"A lemming has very low intelligence."。假定存在一个尝试性注入-例如"lemming'' or 1=1;"，那么这个例程将打印(无害)消息"Sorry, no records found."。
此外，mysqli扩展还提供了一个面向对象版本的相同的例程。下面，我们想说明这种版本的使用方法。

＜?php
　$animalName = 在PHP中全面阻止SQL注入式攻击之三 - 凌众科技

网站建设|独享带宽服务器|优惠促销机型|付款方式|联系我们

快速业务通道

欢迎光临凌众科技，我们将竭诚为您提供最优质的服务！业务电话：0592-5908028 技术支持电话：0592-5908020

技术文章 > Web编程 > PHP编程 > 正文

文件 -1 text win2 服务域名

在PHP中全面阻止SQL注入式攻击之三

作者佚名技术来源 NET编程浏览发布时间 2012-05-25

content

凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!

分享到： /www.lingzhong.cn/tech/31865.htm" title="DIV和table页面布局的区别和联系" target="_blank">DIV和table页面布局的区别和联系

如何实现二维向量 - 编程入门网

网络营销公司在运营中的策略

iBATIS 3内的新特性：将iBATIS用作应用程序内的一种持久框架 - 编程入门网

Photoshop绘制高光水晶质感水晶苹果

上一篇: PHP与MYSQL交互函数表学习笔记下一篇: FC 5 php 不可以连接远程mysql数据库

关于在PHP中全面阻止SQL注入式攻击之三的所有评论

随机推荐

地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁）邮编(ZIP)：361008

电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134

《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号

POST[''animalName''];
　$mysqli = new mysqli( ''localhost'', ''username'', ''password'', ''database'');
　if ( !$mysqli ) exit( ''connection failed: '' . mysqli_connect_error() );
　$stmt = $mysqli-＞prepare( "SELECT intelligence
　FROM animals WHERE name = ?" );
　if ( $stmt ) {
　　$stmt-＞bind_param( "s", $animalName );
　　$stmt-＞execute();
　　$stmt-＞bind_result( $intelligence );
　　if ( $stmt-＞fetch() ) {
　　　print "A $animalName has $intelligence intelligence.\n";
　　} else {
　　　print ''Sorry, no records found.'';
　　}
　　$stmt-＞close();
　}
　$mysqli-＞close();
?＞

　　实际上，这部分代码是前面描述代码的复制-它使用了一种面向对象的语法和组织方法，而不是严格的过程式代码。
　　四、更高级的抽象

　　如果你使用外部库PearDB，那么，你可以对应用程序的安全保护模块进行全面的抽象。

　　另一方面，使用这个库存在一个突出的缺点：你只能受限于某些人的思想，而且代码管理方面也添加了大量的工作。为此，在决定是否使用它们之前，你需要进行仔细地斟酌。如果你决定这样做，那么，你至少确保它们能够真正帮助你"清理"你的用户输入的内容。

　　五、测试你的注入式保护能力

　　正如我们在前面所讨论的，确保你的脚本安全的一个重要的部分是对它们进行测试。为此，最好的办法是你自己创建SQL代码注入测试。
在此，我们提供了一个这种测试的示例。在本例中，我们测试对一个SELECT语句的注入式攻击。

＜?php
//被测试的保护函数
function safe( $string ) {
　return "''" . mysql_real_escape_string( $string ) . "''"
}
//连接到数据库
///////////////////////
//试图进行注入
///////////////////////
$exploit = "lemming'' AND 1=1;";
//进行清理
$safe = safe( $exploit );
$query = "SELECT * FROM animals WHERE name = $safe";
$result = mysql_query( $query );
//测试是否保护是足够的
if ( $result && mysql_num_rows( $result ) == 1 ) {
　exitt "Protection succeeded:\n
　exploit $exploit was neutralized