当前位置: 编程技术>php
防止sql注入方法与实例代码
来源: 互联网 发布时间：2014-08-30
本文导语: 在php教程中，我们经常会看到如何防止sql注入的方法，本节也不例外，为大家收集并介绍php是如何防范sql注入的，一起来看看吧。 1）mysql_real_escape_string -- 转义 sql语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集 ...
在php教程中，我们经常会看到如何防止sql注入的方法，本节也不例外，为大家收集并介绍php是如何防范sql注入的，一起来看看吧。
1）mysql_real_escape_string -- 转义 sql语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集
使用方法：
代码示例:
$sql = "select count(*) as ctr from users where username
='".mysql_real_escape_string($username)."' and
password='". mysql_real_escape_string($pw)."' limit 1";
='".mysql_real_escape_string($username)."' and
password='". mysql_real_escape_string($pw)."' limit 1";
使用mysql_real_escape_string()作为用户输入的包装器，就可以避免用户输入中的任何恶意 SQL 注入。
2） 打开magic_quotes_gpc来防止SQL注入
php.ini中有一个设置：magic_quotes_gpc = Off
这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，比如把 ' 转为 '等，对于防止sql注射有重大作用。
如果magic_quotes_gpc=Off，则使用addslashes()函数
3）自定义函数
代码示例:
function inject_check($sql_str) {
return eregi('select|insert|and|or|update|delete|'|/*|*|../|./|union|into|load_file|outfile', $sql_str);
}
function verify_id($id=null) {
if(!$id) {
exit('没有提交参数！');
} elseif(inject_check($id)) {
exit('提交的参数非法！');
} elseif(!is_numeric($id)) {
exit('提交的参数非法！');
}
$id = intval($id);
return $id;
}
function str_check( $str ) {
if(!get_magic_quotes_gpc()) {
$str = addslashes($str); // 进行过滤
}
$str = str_replace("_", "_", $str);
$str = str_replace("%", "%", $str);
return $str;
}
function post_check($post) {
if(!get_magic_quotes_gpc()) {
$post = addslashes($post);
}
$post = str_replace("_", "_", $post);
$post = str_replace("%", "%", $post);
$post = nl2br($post);
$post = htmlspecialchars($post);
return $post;
}
return eregi('select|insert|and|or|update|delete|'|/*|*|../|./|union|into|load_file|outfile', $sql_str);
}
function verify_id($id=null) {
if(!$id) {
exit('没有提交参数！');
} elseif(inject_check($id)) {
exit('提交的参数非法！');
} elseif(!is_numeric($id)) {
exit('提交的参数非法！');
}
$id = intval($id);
return $id;
}
function str_check( $str ) {
if(!get_magic_quotes_gpc()) {
$str = addslashes($str); // 进行过滤
}
$str = str_replace("_", "_", $str);
$str = str_replace("%", "%", $str);
return $str;
}
function post_check($post) {
if(!get_magic_quotes_gpc()) {
$post = addslashes($post);
}
$post = str_replace("_", "_", $post);
$post = str_replace("%", "%", $post);
$post = nl2br($post);
$post = htmlspecialchars($post);
return $post;
}
您可能感兴趣的文章：
- php防止sql注入函数用法
- php防止sql注入函数(discuz)
- php防范sql注入方法与实例代码
- php防SQL注入代码(360提供)
- php防范SQL注入攻击与XSS攻击的方法详解
- php防sql注入函数mysql_real_escape_string解析
- 学习使用PDO查询Mysql来避免SQL注入风险
- 很好用的php防止sql注入漏洞过滤函数的代码
- php防止sql注入正则过滤一例
您可能感兴趣的文章:
本站(WWW.)旨在分享和传播互联网科技相关的资讯和技术，将尽最大努力为读者提供更好的信息聚合和浏览方式。
本站(WWW.)站内文章除注明原创外，均为转载、整理或搜集自网络。欢迎任何形式的转载，转载请注明出处。
本站(WWW.)站内文章除注明原创外，均为转载、整理或搜集自网络。欢迎任何形式的转载，转载请注明出处。