php - 如何安全地将可疑的 SQL 注入(inject)攻击存储在数据库中？

Question

我将如何在数据库中存储潜在的 SQL 注入(inject)攻击？

首先假设我检测到一个潜在的攻击，并且在一个变量中有违规的攻击字符串，并想将它添加到一个包含可疑事件日志的表中。

我需要做什么才能安全地将这些字符串插入数据库，以免产生错误？

我有一种感觉，它类似于 htmlspecialchars 和 mysql_real_escape_string...但我想把它扔出去看看是否有人有任何想法!

一种想法是将攻击存储为编码的 base64 值，但这似乎有点老套...

仅供引用，我正在用 PHP 编写应用程序:)

如有任何回复，我们将不胜感激!

Answer 1

始终使用参数化查询。如果您使用参数，则无需依赖转义字符串，您的查询将始终完全按照您的意图进行。

例如:

$statement = $db->prepare('INSERT INTO table_name (field_name1, field_name2) VALUES (:value, :value2)');
$statement->execute(array(':value' => $value, ':value2' => $value2));

在此处查看 PDO 准备文档:

http://www.php.net/manual/en/pdo.prepare.php