MySQL SQL注入漏洞原理解析与PHP防御实战

SQL注入的基本原理

SQL注入（SQL Injection）是攻击者将恶意的SQL片段嵌入到正常的用户输入中，利用服务器端脚本直接拼接SQL语句的特性，诱导数据库执行非预期操作的行为。当开发者直接信任用户提供的数据而不加验证地将其拼接到数据库查询语句中时，注入攻击便有了可乘之机。

第1步：构造恶意输入引发注入

目的：理解攻击者如何通过改变输入格式来篡改原始SQL逻辑。 场景描述：假设有一段用于检索用户信息的代码，期望用户输入仅为普通文本。

// 假设的用户输入
$name = "Qadir'; DELETE FROM users;";
// 未经验证直接拼接
mysql_query("SELECT * FROM users WHERE name='{$name}'");

在上述代码中，正常的查询意图是根据名称匹配用户。然而，攻击者输入的 Qadir' 闭合了原有的单引号，随后追加了 DELETE FROM users; 删除语句，最后再用 -- 或分号结束。如果该SQL环境支持多语句堆叠执行，这行恶意输入将导致整个用户表被清空。

PHP环境下的基础防御手段

虽然现代PHP版本已废弃旧的 mysql_*系列函数（如代码示例中的旧式写法），但其背后的防御逻辑依然适用于当前主流的PDO和MySQLi扩展。以下是几种关键的防御策略。

第2步：实施严格的输入验证

入口：接收用户数据的PHP脚本开头。
动作：使用正则表达式限制输入格式，仅允许预期的字符类型和长度。
示例：对于用户名，若只允许字母、数字和下划线，且长度为8-20位，可使用以下验证：

if (preg_match("/^\w{8,20}$/", $_GET['username'], $matches)) {
    $result = mysql_query("SELECT * FROM users 
                 WHERE username=$matches[0]");
} else {
    echo "username not accepted";
}

这种“白名单”机制能从源头阻断大多数特殊字符的注入尝试。

第3步：特殊字符转义处理

核心工具：使用数据库专用的转义函数对元数据进行清理。
传统方法（旧版MySQL扩展）：mysql_real_escape_string() 可以识别当前字符集，对SQL中的特殊字符（如单引号、反斜杠等）进行转义，使其失去破坏SQL结构的能力。

if (get_magic_quotes_gpc()) {
    $name = stripslashes($name);
}
$name = mysql_real_escape_string($name);
mysql_query("SELECT * FROM users WHERE name='{$name}'");

注意：get_magic_quotes_gpc() 已在 PHP 5.4+ 移除，现代开发应确保GPC魔术引号为关闭状态或使用预处理语句。

第4步：解决 LIKE 查询中的转义困境

问题：在使用 LIKE 语句搜索模糊匹配时，通配符 % 和 _ 具有特殊含义。如果用户输入包含这些字符，会导致意外匹配范围扩大。
解决方案：除了基本的SQL注入转义外，还需要专门转义通配符。

$sub = addcslashes(mysql_real_escape_string("%something_"), "%_");
// $sub 变为 \%something\_
mysql_query("SELECT * FROM messages WHERE subject LIKE '{$sub}%'");

此方法先进行标准SQL字符转义，再使用 addcslashes 对 % 和 _ 添加反斜杠前缀，从而将其还原为字面量字符。

总结与现代最佳实践

早期的防御手段主要依赖字符串转义和正则过滤，但由于转义逻辑的复杂性容易遗漏，现代应用强烈推荐采用预处理语句（Prepared Statements）。通过预留SQL模板并将用户数据作为参数绑定执行，从根本上实现了数据与代码的逻辑分离，这是抵御SQL注入最可靠的方式。