SQL 注入是一种常见的攻击形式，针对使用 SQL 数据库的 Web 应用程序。在此类攻击中，攻击者利用应用程序代码中的漏洞注入恶意 SQL 语句，这些语句可能会危害数据库并可能泄露敏感信息。 PHP 是一种流行的 Web 开发语言，通常与 SQL 数据库一起使用。在 PHP 中防止 SQL 注入的一种方法是使用准备好的语句。
准备好的语句是 PHP 中的一项安全功能，允许开发人员使用占位符定义用户输入的查询。然后，占位符会在运行时替换为用户输入值，这些值会自动转义以防止 SQL 注入攻击。准备好的语句提供了一种将 SQL 命令与用户输入分开的方法，并且可以与各种数据库一起使用，包括 MySQL、PostgreSQL 和 Oracle。
您可以采取以下一些步骤来使用准备好的语句来防止 PHP 中的 SQL 注入：
第 1 步：了解 SQL 注入
防止 SQL 注入的第一步是了解它的工作原理。 SQL 注入是一种攻击，攻击者将恶意输入发送到未经正确清理的应用程序。此输入可用于执行任意 SQL 命令或修改现有查询。结果是攻击者可以获得对数据库的未经授权的访问，并可能窃取或修改敏感数据。
第 2 步：使用准备好的语句
准备好的语句通过将 SQL 命令与用户输入分开来提供一种防止 SQL 注入的方法。这是通过使用用户输入的占位符定义查询，然后在运行时将这些占位符绑定到输入值来完成的。准备好的语句可以与 PHP 中的 PDO 和 MySQLi 扩展一起使用。
例如，以下是如何将准备好的语句与 PDO 一起使用：
|
$pdo = new PDO('mysql:主机=本地主机;数据库名=测试', $用户名, $密码);
$stmt = $pdo->prepare('从用户中选择*，其中用户名=：用户名');
$stmt->execute(array('用户名' => $用户名));
|
在此示例中，查询包含用户名输入的占位符。这execute()使用输入值数组调用方法，这些输入值会自动转义以防止 SQL 注入。
以下是如何在 MySQLi 中使用准备好的语句：
|
$mysqli = new mysqli(“本地主机”, “用户名”, “密码”, “数据库”);
$stmt = $mysqli->prepare(“从用户中选择*，其中用户名=？”);
$stmt->绑定参数("s", $用户名);
$stmt->execute();
|
在此示例中，查询包含一个问号作为用户名输入的占位符。这bind_param()调用方法将输入值绑定到占位符。这“s”参数指定输入是一个字符串。
第 3 步：清理用户输入
即使有了准备好的语句，清理用户输入仍然很重要。清理输入意味着验证和清理它，以确保它符合预期的格式并且不包含任何恶意字符或脚本。
在 PHP 中，filter_var()函数可用于清理输入。例如，以下是如何清理用户名输入的方法：
|
$用户名 = 过滤器变量($_POST['用户名'], FILTER_SANITIZE_STRING);
|
The FILTER_SANITIZE_STRING过滤器从输入中删除所有 HTML 标签和特殊字符。
第 4 步：限制权限
为了进一步防止SQL注入，限制数据库用户的权限很重要。数据库用户应该只具有执行其任务所需的最低权限。这有助于限制 SQL 注入攻击时可能造成的损害。
第 5 步：保持软件最新
最后，保持所有软件最新也很重要。这包括 Web 应用程序和数据库软件。更新通常包括解决漏洞的安全补丁，包括那些可能导致 SQL 注入攻击的漏洞。
结论
总之，SQL 注入对于使用 SQL 数据库的 Web 应用程序是一个严重的威胁。使用准备好的语句是防止 PHP 中 SQL 注入的有效方法，因为它将 SQL 命令与用户输入分开并自动转义输入值。然而，清理用户输入、限制权限并保持软件最新以进一步防止攻击仍然很重要。
通过遵循这些步骤，开发人员可以更好地保护其 Web 应用程序和数据库免受 SQL 注入攻击。采取主动的安全方法并随时了解新的威胁和漏洞非常重要。定期的安全审核和测试有助于在潜在的弱点被利用之前识别并解决它们。
