在 PHP 中，使用 MySQLi 扩展进行数据库操作时，确保 SQL 查询的安全性至关重要。 SQL 注入攻击是最常见的安全漏洞之一，它允许攻击者通过不安全的 SQL 查询操控数据库。因此，安全执行 SQL 查询是每个 PHP 开发者必须掌握的技能。
本文将重点讲解如何通过 MySQLi 扩展在 PHP 中安全执行 SQL 查询，并避免 SQL 注入。
1. 理解 SQL 注入
SQL 注入是一种攻击方式，攻击者通过在 SQL 查询中插入恶意代码，能够改变查询的行为，从而执行未授权的操作。以下是一个没有防范 SQL 注入的常见示例：
<?php
// 不安全的 SQL 查询
$username = $_GET['username'];
$password = $_GET['password'];
// 直接将用户输入嵌入 SQL 查询中
$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
// 执行查询
$result = mysqli_query($conn, $query);
?>
在这个例子中，攻击者可能会通过 username 或 password 参数注入恶意 SQL 代码，例如：
username=admin' OR '1'='1
password=anything
这个查询将会绕过身份验证，因为 1=1 始终为真。
2. 安全执行 SQL 查询的最佳实践
为了防止 SQL 注入，我们可以使用 准备语句（Prepared Statements） 和 绑定参数（Binding Parameters） 技术。
2.1 使用准备语句（Prepared Statements）
准备语句是 MySQLi 和 PDO 都支持的一种机制，它通过预编译 SQL 查询并将变量绑定到占位符上来避免 SQL 注入。准备语句将 SQL 查询与数据分开处理，因此即使用户输入包含恶意 SQL 代码，仍然无法改变查询的结构。
3. 使用 MySQLi 的准备语句执行查询
3.1 基本的查询执行：
<?php
// 创建连接
$conn = mysqli_connect("localhost", "username", "password", "database");
// 检查连接
if (!$conn) {
die("Connection failed: " . mysqli_connect_error());
}
// 使用准备语句和绑定参数防止 SQL 注入
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
// 绑定参数
$stmt->bind_param("ss", $username, $password); // "ss" 表示两个字符串参数
// 设置参数
$username = $_GET['username'];
$password = $_GET['password'];
// 执行查询
$stmt->execute();
// 获取结果
$result = $stmt->get_result();
// 处理结果
if ($row = $result->fetch_assoc()) {
echo "Welcome, " . $row['username'];
} else {
echo "Invalid username or password.";
}
// 关闭语句和连接
$stmt->close();
$conn->close();
?>
3.2 详细解释：
- 准备 SQL 查询：
使用$conn->prepare()创建一个预处理语句，在 SQL 查询中使用占位符?来表示需要绑定的变量。 - 绑定参数：
使用$stmt->bind_param()方法将 PHP 变量绑定到 SQL 查询中的占位符。第二个参数是一个字符串，表示每个绑定参数的类型（s表示字符串，i表示整数，d表示双精度浮点数，b表示布尔值）。 - 执行查询：
调用$stmt->execute()执行查询。此时，SQL 查询已经预编译，参数绑定后传递给数据库，从而避免了 SQL 注入。 - 获取查询结果：
使用$stmt->get_result()获取查询结果。 - 关闭连接：
在查询执行完毕后，调用$stmt->close()关闭语句，调用$conn->close()关闭数据库连接。
4. 防止其他常见的 SQL 注入攻击：
除了上述的准备语句外，还有一些其他的防护措施来增强查询的安全性：
4.1 使用 mysqli_real_escape_string()
如果不能使用准备语句，也可以通过 mysqli_real_escape_string() 对用户输入进行转义，以减少 SQL 注入的风险。但这种方法不如准备语句可靠，因此不推荐作为主要防护手段。
<?php
$conn = mysqli_connect("localhost", "username", "password", "database");
if (!$conn) {
die("Connection failed: " . mysqli_connect_error());
}
// 获取并转义用户输入
$username = mysqli_real_escape_string($conn, $_GET['username']);
$password = mysqli_real_escape_string($conn, $_GET['password']);
// 安全的查询
$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($conn, $query);
?>
4.2 使用最小权限原则
为每个数据库用户配置最低权限，限制它们能执行的操作。例如，避免使用 GRANT ALL 给数据库用户过多的权限，只赋予查询、插入等必要的权限。
4.3 禁用危险的 SQL 函数
确保数据库服务器禁用如 LOAD DATA LOCAL INFILE、SELECT INTO OUTFILE 等可以执行危险操作的 SQL 函数。
4.4 验证用户输入
始终对用户输入进行验证，确保它们符合预期格式。例如，对于电话号码、电子邮件地址、日期等字段，可以使用正则表达式验证输入的格式。
<?php
if (preg_match("/^[a-zA-Z0-9_]+$/", $_GET['username'])) {
$username = $_GET['username'];
} else {
// 输入无效
die("Invalid username.");
}
?>
5. 总结
- 使用准备语句（Prepared Statements） 是防止 SQL 注入的最佳实践。
- 通过
bind_param()方法将变量与 SQL 查询中的占位符绑定，确保用户输入不会被直接嵌入查询中。 - 对于复杂的查询，确保验证和转义所有用户输入。
- 使用 最小权限原则 限制数据库用户的权限。
- 除了 SQL 注入，确保验证用户输入的格式以及禁用不安全的 SQL 函数。
通过遵循这些安全实践，可以大大减少 SQL 注入的风险，确保你的 PHP 应用程序与数据库的交互更加安全。