php - (int) php和mysql注入(inject)

Question

据我所知，保护您的网站免受 SQL 注入(inject)的最安全方法是使用准备好的语句。但是，如果用户输入被转换为数字，那么如何解决这个问题呢？

$id = (int)$_GET['id'];

Answer 1

But how does someone can go around this if user input is converted to a number?

简单地说，他们不能，故事结束/碰壁。因为它被类型转换为 integer ，它不能被修改或操纵。

只有您有权力修改它，如果您愿意/必须的话。

例如:

$string = "String";
$id = (int)$_GET['id'];
echo $new_value = $string . "" . $id;

生成String123。

var_dump($new_value); 将生成 string(9) "String123"。

但是现在，这将是一个字符串，所以您不希望这样，但这只是为了向您展示事后可以做什么。

由于 SQL 注入(inject)通常包含 '、- 或 DELETE 等字符或任何其他非整数并传递给如果被潜在的黑客攻击，该声明将被拒绝。

file.php?id=123并在URL中修改如file.php?id=String');删除表用户； -- 不会“通过 GO”，可以这么说。

您可以做的是检查数组中传递的内容是否确实是整数。

有几个函数可以检查这一点。

• https://secure.php.net/manual/en/function.is-int.php
• http://php.net/manual/en/function.ctype-digit.php
• https://php.net/manual/en/function.is-numeric.php
• filter_input()使用 FILTER_VALIDATE_INT 过滤器
  https://secure.php.net/manual/en/filter.filters.validate.php

但是，使用准备好的语句也会有好处。 mysqli_ 和 PDO API 都提供此功能。

• https://php.net/manual/en/mysqli.quickstart.prepared-statements.php
• https://php.net/manual/en/pdo.prepared-statements.php

当使用 mysqli_ api 时，然后使用诸如以下内容:

bind_param("i", $id) (i 代表“整数”)。即使有人确实设法传递了除整数之外的其他内容，mysql 仍然会拒绝让它通过，因为它也通过绑定(bind)参数转换为整数。

但是，如果是 bind_param("s", $id) - (“s”代表“字符串”)，那么这可能是一个不同的游戏。

PDO 也有这个，即 PDO::PARAM_INT。

• https://secure.php.net/manual/en/pdostatement.bindparam.php

话虽如此；无论如何，坚持使用准备好的语句。