PHP MySQLI 防止 SQL 注入(inject)

Question

这个问题在这里已经有了答案:

How can I prevent SQL injection in PHP? (27 个回答)

关闭 9年前。

我已经建立了一个即将上线的网站，并且有几个关于防止 SQL 注入(inject)的问题，我了解如何使用 mysqli_real_escape_string 但我只是想知道是否必须使用在我为我的 SQL 语句获取的所有变量上，当我也在执行 select 语句或仅在插入更新和删除时是否必须使用它？另外，您还建议我在网站上线之前实现哪些其他安全措施，提前感谢您的帮助!

Answer 1

任何查询都可以被注入(inject)，无论是读取还是写入、持久性还是 transient 。可以通过结束一个查询并运行一个单独的查询来执行注入(inject)(可能使用 mysqli)，这使得预期的查询无关紧要。

任何来自外部来源的查询输入，无论是来自用户还是来自内部，都应该被视为查询的参数，以及查询上下文中的参数。查询中的任何参数都需要参数化。这会导致正确参数化的查询，您可以从中创建准备好的语句并使用参数执行。例如:

SELECT col1 FROM t1 WHERE col2 = ?

? 是参数的占位符。使用 mysqli，您可以使用 prepare 创建准备好的语句，使用 bind_param 将变量(参数)绑定(bind)到参数，然后运行查询执行。您根本不必清理论点(实际上这样做是有害的)。 mysqli 为你做这件事。整个过程是:

$stmt = $mysqli->prepare("SELECT col1 FROM t1 WHERE col2 = ?");
$stmt->bind_param("s", $col2_arg);
$stmt->execute();

参数化查询和准备好的语句之间也有一个重要的区别。这条语句虽然准备好了，但没有参数化，因此容易被注入(inject):

$stmt = $mysqli->prepare("INSERT INTO t1 VALUES ($_POST[user_input])");

总结一下:

• 所有查询应正确参数化(除非它们没有参数)
• 所有查询的参数应尽可能被视为敌对，无论其来源如何