SQL 注入（SQL Injection）是一种常见的安全漏洞攻击，攻击者通过向 SQL 查询中插入恶意的 SQL 代码，可能导致数据泄露、数据破坏、甚至完全控制数据库。防止 SQL 注入是开发安全网站和应用程序的关键步骤。

PHP 提供了多种防止 SQL 注入的方法。以下是防止 SQL 注入的 5 个关键措施：

1. 使用预处理语句和绑定参数（Prepared Statements and Bound Parameters）

使用预处理语句是防止 SQL 注入的最有效方法之一。通过预处理语句，SQL 查询和参数被分开处理，数据库引擎会自动处理参数的转义，从而避免恶意 SQL 代码的注入。

使用 PDO（PHP Data Objects）

<?php
// 创建数据库连接
$pdo = new PDO("mysql:host=localhost;dbname=testdb", "username", "password");
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

// 使用预处理语句和绑定参数
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");

// 绑定参数
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);

// 获取用户输入
$username = $_POST['username'];
$password = $_POST['password'];

// 执行查询
$stmt->execute();

// 获取结果
$result = $stmt->fetch(PDO::FETCH_ASSOC);
?>

关键点：

  • 使用 :parameter 占位符代替直接在 SQL 查询中插入变量。
  • 使用 bindParam() 绑定实际的值，PDO 会自动处理变量的转义，从而避免 SQL 注入。

使用 MySQLi（MySQL Improved）

<?php
// 创建数据库连接
$conn = new mysqli("localhost", "username", "password", "testdb");

// 检查连接是否成功
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// 使用预处理语句和绑定参数
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);

// 获取用户输入
$username = $_POST['username'];
$password = $_POST['password'];

// 执行查询
$stmt->execute();

// 获取结果
$result = $stmt->get_result()->fetch_assoc();
?>

关键点：

  • bind_param() 用于绑定参数，第一个参数指定数据类型（s 表示字符串，i 表示整数等）。
  • 预处理语句可以有效防止 SQL 注入。

2. 使用 SQL 白名单（Allow List）对输入进行验证

在接收用户输入时，最好对输入的数据进行严格的验证。如果是数字或选项，应该检查它们是否属于预期范围或符合预定义的值，而不是直接将输入作为 SQL 查询的一部分。

示例：验证数字输入

<?php
// 获取用户输入
$userId = $_GET['user_id'];

// 确保 user_id 是一个有效的数字
if (filter_var($userId, FILTER_VALIDATE_INT)) {
    $stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");
    $stmt->bindParam(':id', $userId, PDO::PARAM_INT);
    $stmt->execute();
    $result = $stmt->fetch(PDO::FETCH_ASSOC);
} else {
    echo "无效的用户ID";
}
?>

关键点：

  • 使用 filter_var() 函数验证和清理用户输入，确保数据符合预期格式。

3. 使用 ORM（对象关系映射）库

使用 ORM（如 Laravel 的 Eloquent，Symfony 的 Doctrine 等）可以有效地避免直接编写 SQL 查询。ORM 库会自动处理 SQL 注入防护，并提供一层抽象，简化数据库操作。

示例：使用 Laravel Eloquent

<?php
// 获取用户输入
$username = $_POST['username'];

// 使用 Eloquent 查询
$user = User::where('username', $username)->first();

// 返回结果
return $user;
?>

关键点：

  • ORM 自动处理参数绑定和转义，从而避免 SQL 注入。
  • 使用 ORM 时，避免使用原始 SQL 查询，尽量使用框架提供的查询构造器。

4. 避免直接拼接 SQL 查询

避免直接拼接用户输入到 SQL 查询字符串中，因为这样很容易遭受 SQL 注入攻击。即使没有预处理语句，也不应直接将用户输入拼接到查询中。

错误示例：直接拼接 SQL 查询

<?php
// 获取用户输入
$username = $_POST['username'];
$password = $_POST['password'];

// 错误的做法：直接拼接 SQL 查询
$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($conn, $query);
?>

问题：

  • 用户输入的 $username 和 $password 会被直接拼接到查询中，攻击者可以注入恶意的 SQL 代码。

5. 使用适当的权限和最小化数据库访问

确保数据库的权限控制严格，避免应用程序使用具有过多权限的数据库用户。如果攻击者通过 SQL 注入突破了应用层安全，他们仍然应该受到数据库权限限制。

示例：

  • 仅授予应用程序所需的最低数据库权限，避免使用 root 用户。
  • 使用不同的数据库账户进行不同操作，例如：读操作、写操作和管理员操作使用不同的账户。

总结

  1. 使用预处理语句和绑定参数：避免直接在 SQL 查询中插入用户输入，使用预处理语句绑定参数。
  2. 使用 SQL 白名单验证用户输入：对用户输入进行严格的格式验证，确保其符合预期。
  3. 使用 ORM 库：使用框架提供的 ORM 来抽象数据库操作，避免直接写 SQL。
  4. 避免直接拼接 SQL 查询：永远不要将用户输入直接拼接到 SQL 查询中。
  5. 最小化数据库访问权限：限制数据库用户的权限，避免使用具有过高权限的账户。

通过这些措施，你可以大大减少 SQL 注入攻击的风险，从而提高应用程序的安全性。