服务端字符过滤 与 SQL PDO防注入
注入示例
# step 1 SQL
SELECT * FROM users WHERE username = 'admin' AND password = 'e10adc3949ba59abbe56e057f20f883e'
# step 2 SQL
SELECT * FROM users WHERE username = 'admin'#' AND password = '96e79218965eb72c92a549dd5a330112'关键点是这2个SQL的区别.其中第二步由于前台传入特殊字符单引号（'）及#，在数据库中#为语句注释部分，则后续SQL语句不会被执行，可直接跳过我们的密码验证逻辑。
username还可以是 'admin' OR 1='1 跳过验证
1. PHP端防注入
1.1 字符型过滤
/*discuz过滤函数*/
function inject_check($sql_str)
{ return preg_match('/^select|insert|and|or|create|update|delete|alter|count|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile/i', $sql_str); // 进行过滤
} $data[] = $_GET['username'];
$data[] = $_GET['passwd'];
function inject_checks($data) {foreach($data as $key => $val){if(preg_match('/^select|insert|and|or|create|update|delete|alter|count|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile/i', $val)){return true;}}return false;
}上面是discuz过滤字符型注入的函数 ,返回检测结果，1 or 0
1就是存在特殊字符
示例：
if(inject_check($str)){exit('非法字符!');
}foreach($_POST as $key => $value){if(inject_check($value)){echo '非法字符';exit（）；}
}这种要求比较严格的过滤，一般应用在注册和登陆环节
1.2 数字型的过滤
$id = intval($_GET['id']);数字型的就比较简单了。只需要转换一下
1.3 富文本的过滤
$html = "<a href='test'>Test</a>";
$html = addslashes($html);输出：
<a href=\'test\'>Test</a>
需要显示的时候再用 stripslashes 处理
1.4 统一转义
if (!get_magic_quotes_gpc())
{if (!empty($_GET)){$_GET = addslashes_deep($_GET);}if (!empty($_POST)){$_POST = addslashes_deep($_POST);}$_COOKIE = addslashes_deep($_COOKIE);$_REQUEST = addslashes_deep($_REQUEST);
}function addslashes_deep($value)
{if (empty($value)){return $value;}else{return is_array($value) ? array_map('addslashes_deep', $value) : addslashes($value);}
}array_map() 函数将用户自定义函数作用到数组中的每个值上，并返回用户自定义函数作用后的带有新值的数组。
这样数组中的每个值都得到转义处理
2. PDO方式防止注入
pdo中的预处理语句
$servername = "localhost";
$username = "root";
$password = "";
$dbname = "haha";try {$conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);// 设置 PDO 错误模式为异常$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);// 预处理 SQL 并绑定参数$stmt = $conn->prepare("select * from dw_user where `username`=:username and `password`=:password");$stmt->bindParam(':username', $firstname);$stmt->bindParam(':password', $pass);// 插入行$firstname = $_POST['username'];$pass = $_POST['password'];//$lastname = "Doe";//$email = "john@example.com";$stmt->execute();$rs = $stmt->Fetch();if($rs['user_id'] > 0 ){echo '登陆成功!';exit();}else{echo '登陆失败!';exit();}// 插入其他行//$firstname = "Mary";//$lastname = "Moe";//$email = "mary@example.com";//$stmt->execute();// 插入其他行//$firstname = "Julie";//$lastname = "Dooley";//$email = "julie@example.com";//$stmt->execute();//echo "新记录插入成功";
}
catch(PDOException $e)
{echo "Error: " . $e->getMessage();
}
$conn = null;预处理绑定 会变成字符串包起来 不是 简单的 SQL 拼接