PHP中防止SQL注入的几种有效方法

理解SQL注入的攻击原理

SQL注入的核心在于恶意用户通过输入特殊构造的数据，篡改原本预期的SQL逻辑。攻击动机多样，但最常见的手段是通过修改WHERE子句来扩展查询结果的范围或权限。

单条指令的上下文注入

当脚本执行SELECT指令时，攻击者可能通过注入类似1=1的条件，强制显示表格中的所有记录。例如：

SELECT * FROM wines WHERE variety = 'lagrein' OR 1=1;

这不仅泄露了数据，还揭示了表结构信息。对于UPDATE或DELETE指令，威胁更为直接。攻击者可以通过修改SET子句增加字段，或在WHERE子句中植入恒真条件，导致所有记录被意外修改或删除。例如：

UPDATE wines SET type='red', 'vintage'='9999' WHERE variety = 'lagrein' OR 1=1;

多重查询注入

多重查询注入允许攻击者在单个请求中执行多条破坏性指令。其关键在于利用分号;终止当前查询并追加新语句。例如：

SELECT * FROM wines WHERE variety = 'lagrein';
GRANT ALL ON *.* TO 'BadGuy@%' IDENTIFIED BY 'gotcha;';

该示例展示了如何创建新用户并赋予其过高权限。虽然默认情况下PHP的mysql扩展不支持多查询执行（会静默失败），但mysqli_multi_query()函数明确支持此功能。此外，SQLite在某些配置下可能允许批量查询，需格外警惕。

历史案例与漏洞分析

以Invision Power Board为例，其登录逻辑曾存在显著漏洞。原始代码从Cookie中获取用户ID和密码哈希：

$mid = intval($std->my_getcookie('member_id'));
$pid = $std->my_getcookie('pass_hash');

随后直接使用变量构建查询：$DB->query("SELECT * FROM ibf_members WHERE id=$mid AND password='$pid'");。由于$mid经过了整数转换，而$pid未做任何处理，攻击者可通过构造特定的Cookie值注入恶意指令。修复方案是对未经白名单验证的Cookie值调用清理函数，确保只有受信任的变量绕过过滤。

PHP环境下的防御策略

为了从根本上消除SQL注入风险，开发者应采取多层防护策略，核心原则是“清洗”用户输入。

严格界定查询值

确保查询中的每个值都被正确引用。对于字符串，务必使用单引号包裹。虽然数字类型理论上不需要引号，但使用引号可以防止因空输入导致的语法错误。例如，将空值视为''而非直接留空，可避免产生无效SQL语句。

// 推荐写法
$query = "SELECT * FROM wines WHERE variety = '$variety'";

实施严格的类型检查

对期望为数字的输入，应强制转换为整数类型，以排除非数值字符。可使用以下函数：

• intval()：转换为整型。
• is_int()：检查是否为整型。
• settype()：强制设置变量类型。

同时，利用strlen()检查长度，strtotime()验证日期格式，以及strpos()检测是否存在分号等危险字符。若检测到非法字符，应立即终止程序或返回错误。

if (strpos($variety, ';') !== false) {
    exit("$variety is an invalid value for variety!");
}

谨慎使用转义函数

尽管addslashes()和已废弃的magic_quotes_gpc配置曾被广泛使用，但它们并不具备数据库感知能力，容易在不同编码或环境下失效，且需要后续用stripslashes()还原，增加了复杂性。相比之下，mysql_real_escape_string()更能适应特定数据库连接上下文，提供更可靠的保护。然而，现代最佳实践推荐使用PDO或MySQLi的预处理语句（Prepared Statements），通过将SQL结构与数据分离，实现更彻底的安全保障。

以上就是PHP中防止SQL注入实现代码的详细内容，更多关于PHP安全编程的资料请关注本站其它相关文章！