mysql sql注入

通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令。

舉例

1：輸入的用戶名必須爲字母、數字及下劃線的組合，且用戶名長度爲 8 到 20 個字符之間：

if (preg_match("/^\w{8,20}$/", $_GET['username'], $matches))
{
   $result = mysqli_query($conn, "SELECT * FROM users 
                          WHERE username=$matches[0]");
}
 else 
{
   echo "username 輸入異常";
}

2、在沒有過濾特殊字符時，出現的SQL情況：

// 設定$name 中插入了我們不需要的SQL語句
$name = "Qadir'; DELETE FROM users;";
mysqli_query($conn, "SELECT * FROM users WHERE name='{$name}'");

總結：以上的注入語句中，我們沒有對 $name 的變量進行過濾，$name 中插入了我們不需要的SQL語句，將刪除 users 表中的所有數據。

防止SQL注入

//獲取magic_quotes_gpc配置
if (get_magic_quotes_gpc()) 
{
    //獲取反轉義的字符串
  $name = stripslashes($name);
}

$name = mysqli_real_escape_string($conn, $name);
mysqli_query($conn, "SELECT * FROM users WHERE name='{$name}'");

PHP的MySQL擴展提供了mysqli_real_escape_string()函數來轉義特殊的輸入字符。

Like語句中的注入

like查詢時，如果用戶輸入的值有"_"和"%"，則會出現這種情況：用戶本來只是想查詢"abcd_"，查詢結果中卻有"abcd_"、"abcde"、"abcdf"等等；用戶要查詢”30%”（注：百分之三十）時也會出現問題。在PHP腳本中我們可以使用addcslashes()函數來處理以上情況，如下實例：

//addcslashes() 函數在指定的字符前添加反斜槓。
$sub = addcslashes(mysqli_real_escape_string($conn, "%something_"), "%_");
// $sub == \%something\_
mysqli_query($conn, "SELECT * FROM messages WHERE subject LIKE '{$sub}%'");