PHP简单实现防止SQL注入的方法
本文实例讲述了PHP简单实现防止SQL注入的方法。分享给大家供大家参考，具体如下：
方法一：execute代入参数
<?php
if(count($_POST)!= 0) {
$host = 'aaa';
$database = 'bbb';
$username = 'ccc';
$password = '***';
$num = 0;
$pdo = new PDO("mysql:host=$host;dbname=$database", $username, $password);//创建一个pdo对象
foreach ($_POST as $var_Key => $var_Value) {
//获取POST数组最大值
$num = $num + 1;
}
//下标为i的数组存储的是商品id, 下标为j数组的存储的是此商品的库存
for($i=0;$i<$num;$i=$i+2)
{
//库存下标
$j = $i+1;
//判断传递过来的数据合法性
if(is_numeric(trim($_POST[$i])) && is_numeric(trim($_POST[$j]))){
//禁用prepared statements的仿真效果
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
//查询数据库中是否存在该ID的商品
//当调用 prepare() 时，查询语句已经发送给了数据库服务器，此时只有占位符 ? 发送过去，没有用户提交的数据
$stmt = $pdo->prepare("select good_id from delphi_test_content WHERE good_id = ?");
//当调用到 execute()时，用户提交过来的值才会传送给数据库，他们是分开传送的，两者独立的，SQL攻击者没有一点机会。
$stmt->execute(array($_POST[$i]));
//返回查询结果
$count = $stmt->rowCount();
//如果本地数据库存在该商品ID和库存记录，就更新该商品的库存
if($count != 0)
{
$stmt = $pdo->prepare("update delphi_test_content set content = ? WHERE good_id = ?");
$stmt->execute(array($_POST[$j], $_POST[$i]));
}
//如果本地数据库没有该商品ID和库存记录，就新增该条记录
if($count == 0)
{
$stmt = $pdo->prepare("insert into delphi_test_content (good_id,content) values (?,?)");
$stmt->execute(array($_POST[$i], $_POST[$j]));
}
}
}
$pdo = null;
//关闭连接
}
?>
方法二：bindParam绑定参数
<?php
if(count($_POST)!= 0) {
$host = 'aaa';
$database = 'bbb';
$username = 'ccc';
$password = '***';
$num = 0;
$pdo = new PDO("mysql:host=$host;dbname=$database", $username, $password);//创建一个pdo对象
foreach ($_POST as $var_Key => $var_Value) {
//获取POST数组最大值
$num = $num + 1;
}
//下标为i的数组存储的是商品id, 下标为j数组的存储的是此商品的库存
for($i=0;$i<$num;$i=$i+2)
{
//库存下标
$j = $i+1;
//判断传递过来的数据合法性(此数据为商品编号以及库存，严格来说字符串全是由数字组成的)
if(is_numeric(trim($_POST[$i])) && is_numeric(trim($_POST[$j]))){
//查询数据库中是否存在该ID的商品
$stmt = $pdo->prepare("select good_id from delphi_test_content WHERE good_id = ?");
$stmt->execute(array($_POST[$i]));
$stmt->bindParam(1,$_POST[$i]);
$stmt->execute();
//返回查询结果
$count = $stmt->rowCount();
//如果本地数据库存在该商品ID和库存记录，就更新该商品的库存
if($count != 0)
{
$stmt = $pdo->prepare("update delphi_test_content set content = ? WHERE good_id = ?");
$stmt->execute(array($_POST[$j], $_POST[$i]));
$stmt->bindParam(1,$_POST[$j]);
$stmt->bindParam(2,$_POST[$i]);
$stmt->execute();
}
//如果本地数据库没有该商品ID和库存记录，就新增该条记录
if($count == 0)
{
$stmt = $pdo->prepare("insert into delphi_test_content (good_id,content) values (?,?)");
$stmt->bindParam(1,$_POST[$i]);
$stmt->bindParam(2,$_POST[$j]);
$stmt->execute();
}
}
}
$pdo = null;
//关闭连接
}
?>
更多关于PHP相关内容感兴趣的读者可查看本站专题：《php程序设计安全教程》、《php安全过滤技巧总结》、《PHP运算与运算符用法总结》、《PHP基本语法入门教程》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》
希望本文所述对大家PHP程序设计有所帮助。
您可能感兴趣的文章:
- PHP实现表单提交数据的验证处理功能【防SQL注入和XSS攻击等】
- php防止sql注入的方法详解
- PHP简单预防sql注入的方法
- PHP中防止SQL注入方法详解
- php中$_GET与$_POST过滤sql注入的方法
- Discuz7.2版的faq.php SQL注入漏洞分析
- PHP防范SQL注入的具体方法详解(测试通过)
- PHP开发中常见的安全问题详解和解决方法（如Sql注入、CSRF、Xss、CC等）
- php防止sql注入示例分析和几种常见攻击正则表达式
相关推荐
-
PHP防范SQL注入的具体方法详解(测试通过)
一个优秀的PHP程序员除了要能顺利的编写代码,还需要具备使程序处于安全环境下的能力.今天我们要向大家讲解的是有关PHP防范SQL注入的相关方法. 说到网站安全就不得不提到SQL注入(SQL Injection),如果你用过ASP,对SQL注入一定有比较深的理解,PHP的安全性相对较高,这是因为MYSQL4以下的版本不支持子语句,而且当php.ini里的 magic_quotes_gpc 为On 时. 提交的变量中所有的 ' (单引号), " (双引号), \ (反斜线) and 空字符会自动转为
-
PHP开发中常见的安全问题详解和解决方法（如Sql注入、CSRF、Xss、CC等）
浅谈Php安全和防Sql注入,防止Xss攻击,防盗链,防CSRF 前言: 首先,笔者不是web安全的专家,所以这不是web安全方面专家级文章,而是学习笔记.细心总结文章,里面有些是我们phper不易发现或者说不重视的东西.所以笔者写下来方便以后查阅.在大公司肯定有专门的web安全测试员,安全方面不是phper考虑的范围.但是作为一个phper对于安全知识是:"知道有这么一回事,编程时自然有所注意". 目录: 1.php一些安全配置(1)关闭php提示错误功能(2)关闭一些"坏
-
PHP实现表单提交数据的验证处理功能【防SQL注入和XSS攻击等】
本文实例讲述了PHP实现表单提交数据的验证处理功能.分享给大家供大家参考,具体如下: 防XSS攻击代码: /** * 安全过滤函数 * * @param $string * @return string */ function safe_replace($string) { $string = str_replace('%20','',$string); $string = str_replace('%27','',$string); $string = str_replace('%2527',
-
php防止sql注入示例分析和几种常见攻击正则表达式
注入漏洞代码和分析 复制代码 代码如下: <?php function customError($errno, $errstr, $errfile, $errline) { echo "<b>Error number:</b> [$errno],error on line $errline in $errfile<br />"; die(); } set_error_handler("customError"
-
php防止sql注入的方法详解
一.什么是SQL注入式攻击? 所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令.在某些表单中,用户输入的内容直接用来构造(或者影响)动态SQL命令,或作为存储过程的输入参数,这类表单特别容易受到SQL注入式攻击.常见的SQL注入式攻击过程类如: ⑴ 某个ASP.NET Web应用有一个登录页面,这个登录页面控制着用户是否有权访问应用,它要求用户输入一个名称和密码. ⑵ 登录页面中输入的内容将直接用来构造动态的S
-
PHP中防止SQL注入方法详解
问题描述: 如果用户输入的数据在未经处理的情况下插入到一条SQL查询语句,那么应用将很可能遭受到SQL注入攻击,正如下面的例子: 复制代码 代码如下: $unsafe_variable = $_POST['user_input']; mysql_query("INSERT INTO `table` (`column`) VALUES ('" . $unsafe_variable . "')"); 因为用户的输入可能是这样的: 复制代码 代码如下: value');
-
Discuz7.2版的faq.php SQL注入漏洞分析
注入代码实例: 复制代码 代码如下: http://www.jb51.net/faq.php?action=grouppermission&gids[99]=%27&gids[100][0]=) and (select 1 from (select count(*),concat((select (select (select concat(username,0x20,password) from cdb_members limit 0,1) ) from `information_sch
-
PHP简单预防sql注入的方法
本文实例讲述了PHP简单预防sql注入的方法.分享给大家供大家参考,具体如下: 出现sql注入一般都是因为语法不规范不严谨造成的,问题出现在sql语句上,而起决定性的是quote(').如下: $sql = "delete from table where id ='$id'" ; 正常提交的话就是删除一条数据,若id提交的是(1 ' or 1 #),那么sql语句就变成了 delete from table where id = '1'or 1 #'; 这样的话就会把整个表给删掉,造
-
php中$_GET与$_POST过滤sql注入的方法
本文实例讲述了php中$_GET与$_POST过滤sql注入的方法,分享给大家供大家参考.具体分析如下: 此函数只能过滤一些敏感的sql命令了,像id=1这种大家还是需要自己简单过滤了. 主要实现代码如下: 复制代码 代码如下: if (!get_magic_quotes_gpc()) { if (!empty($_GET)) { $_GET = addslashes_deep($_GET); } if (!empty($_POST)) { $_POST = addslashes_deep($
-
PHP简单实现防止SQL注入的方法
本文实例讲述了PHP简单实现防止SQL注入的方法.分享给大家供大家参考,具体如下: 方法一:execute代入参数 <?php if(count($_POST)!= 0) { $host = 'aaa'; $database = 'bbb'; $username = 'ccc'; $password = '***'; $num = 0; $pdo = new PDO("mysql:host=$host;dbname=$database", $username, $password
-
JS代码防止SQL注入的方法(超简单)
下面通过两个方面给大家介绍js代码防止sql注入的方法,非常简单实用,感兴趣的朋友参考下吧! 1.URL地址防注入: //过滤URL非法SQL字符 var sUrl=location.search.toLowerCase(); var sQuery=sUrl.substring(sUrl.indexOf("=")+1); re=/select|update|delete|truncate|join|union|exec|insert|drop|count|'|"|;|>
-
mybatis防止SQL注入的方法实例详解
SQL注入是一种很简单的攻击手段,但直到今天仍然十分常见.究其原因不外乎:No patch for stupid.为什么这么说,下面就以JAVA为例进行说明: 假设数据库中存在这样的表: table user( id varchar(20) PRIMARY KEY , name varchar(20) , age varchar(20) ); 然后使用JDBC操作表: private String getNameByUserId(String userId) { Connection conn
-
防御SQL注入的方法总结
SQL 注入是一类危害极大的攻击形式.虽然危害很大,但是防御却远远没有XSS那么困难. SQL 注入可以参见:https://en.wikipedia.org/wiki/SQL_injection SQL 注入漏洞存在的原因,就是拼接 SQL 参数.也就是将用于输入的查询参数,直接拼接在 SQL 语句中,导致了SQL 注入漏洞. 1. 演示下经典的SQL注入 我们看到:select id,no from user where id=2; 如果该语句是通过sql字符串拼接得到的,比如: Strin
-
ASP.NET防止SQL注入的方法示例
本文实例讲述了ASP.NET防止SQL注入的方法.分享给大家供大家参考,具体如下: 最近接手别人一个项目,发现存在SQL注入漏洞,因为不想改太多代码,所以那种参数法防注入呢我就用不着了.只能用传统的笨一点的办法了. 1.新建Global.asax文件. 2.加入如下代码: void Application_BeginRequest(object sender, EventArgs e) { bool result = false; if (Request.RequestType.ToUpper(
-
浅谈mybatis中的#和$的区别 以及防止sql注入的方法
mybatis中的#和$的区别 1. #将传入的数据都当成一个字符串,会对自动传入的数据加一个双引号.如:order by #user_id#,如果传入的值是111,那么解析成sql时的值为order by "111", 如果传入的值是id,则解析成的sql为order by "id". 2. $将传入的数据直接显示生成在sql中.如:order by $user_id$,如果传入的值是111,那么解析成sql时的值为order by user_id, 如果传入的
-
java持久层框架mybatis防止sql注入的方法
sql注入大家都不陌生,是一种常见的攻击方式,攻击者在界面的表单信息或url上输入一些奇怪的sql片段,例如"or '1'='1'"这样的语句,有可能入侵参数校验不足的应用程序.所以在我们的应用中需要做一些工作,来防备这样的攻击方式.在一些安全性很高的应用中,比如银行软件,经常使用将sql语句全部替换为存储过程这样的方式,来防止sql注入,这当然是一种很安全的方式,但我们平时开发中,可能不需要这种死板的方式. mybatis框架作为一款半自动化的持久层框架,其sql语句都要我们自己来手
-
PHP+mysql防止SQL注入的方法小结
本文实例讲述了PHP+mysql防止SQL注入的方法.分享给大家供大家参考,具体如下: SQL注入 例:脚本逻辑 $sql = "SELECT * FROM user WHERE userid = $_GET[userid] "; 案例1: 复制代码 代码如下: SELECT * FROM t WHERE a LIKE '%xxx%' OR (IF(NOW=SYSDATE(), SLEEP(5), 1)) OR b LIKE '1=1 '; 案例2: 复制代码 代码如下: SELECT