标签目录：SQL注入

2017
03-08

MySQL 及 SQL 注入与防范方法

所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。我们永远不要信任用户的输入，我们必须认定用户输入的数据都是不安全的，我们都需要对用户输入的数据进行过滤处理。1.以下实例中，输入的用户名必须为字母、数字及下划线的组合，且用户名长度为8到20个字符之间：if(preg_match("/^\w{8,20}$/",$_GET['username'],$matche... 继续阅读 >

2014
11-27

PHP中该怎样防止SQL注入？

问题描述：如果用户输入的数据在未经处理的情况下插入到一条SQL查询语句，那么应用将很可能遭受到SQL注入攻击，正如下面的例子：$unsafe_variable=$_POST['user_input'];    mysql_query("INSERTINTO`table`(`column`)VALUES('".$unsafe_variable."')");  因为用户的输入可能是这样的：value');DROPTABLEtable;-- 那么SQL查询将变成如下：INSERTINTO`table`(`column`)VAL... 继续阅读 >

2014
11-07

Yii框架官方指南系列23——使用数据库：数据访问对象（DAO）

数据访问对象（DAO）对访问存储在不同数据库管理系统（DBMS）中的数据提供了一个通用的API。因此，在将底层DBMS更换为另一个时，无需修改使用了DAO访问数据的代码。YiiDAO基于 PHPDataObjects(PDO) 构建。它是一个为众多流行的DBMS提供统一数据访问的扩展，这些DBMS包括MySQL，PostgreSQL等等。因此，要使用YiiDAO，PDO扩展和特定的PDO数据库驱动(例如 PDO_MYSQL)必须安装。YiiDAO主要包含如下四个类... 继续阅读 >

2014
11-07

Yii框架官方指南系列24——使用数据库：Query Builder

Yii框架的QueryBuilder提供了以面向对象的方式编写SQL语句，允许开发者使用类方法和属性来指定SQL语句中的独立部分，并且将这些不同部分组装成一个可以通过调用如上一章节所述的DAO方法来执行的SQL语句。下面展示了使用QueryBuilder来构建SELECTSQL语句的典型方法:$user=Yii::app()->db->createCommand()->select('id,username,profile')->from('tbl_useru')->join('tbl_profilep','u.id=p.user_id')... 继续阅读 >

2014
11-07

PHP安全之数据库安全——SQL注入及预防措施

很多web开发者没有注意到SQL查询是可以被篡改的，因而把SQL查询当作可信任的命令。殊不知道，SQL查询可以绕开访问控制，从而绕过身份验证和权限检查。更有甚者，有可能通过SQL查询去运行主机操作系统级的命令。直接SQL命令注入就是攻击者常用的一种创建或修改已有SQL语句的技术，从而达到取得隐藏数据，或覆盖关键的值，甚至执行数据库主机操作系统命令的目的。这是通过应用程序取得用户输入并与静态参数组合成SQL... 继续阅读 >

2014
11-07

PHP安全之魔术引号——什么是魔术引号以及如何使用

注：魔术引号特性已自PHP5.3.0起废弃并将自PHP5.4.0起移除。什么是魔术引号当打开时，所有的 '（单引号），"（双引号），\（反斜线）和 NULL 字符都会被自动加上一个反斜线进行转义。这和 addslashes() 作用完全相同。一共有三个魔术引号指令：magic_quotes_gpc 影响到 HTTP 请求数据（GET，POST和COOKIE）。不能在运行时改变。在 PHP 中默认值为 on。magic_quotes_runtime 如果打开的话，大部份从外部... 继续阅读 >

2014
11-07

PHP数据库抽象层之PDO（四）——预处理语句与存储过程

很多更成熟的数据库都支持预处理语句的概念。什么是预处理语句？可以把它看作是想要运行的SQL的一种编译过的模板，它可以使用变量参数进行定制。预处理语句可以带来两大好处：查询仅需解析（或预处理）一次，但可以用相同或不同的参数执行多次。当查询准备好后，数据库将分析、编译和优化执行该查询的计划。对于复杂的查询，此过程要花费较长的时间，如果需要以不同参数多次重复相同的查询，那么该过程将大大降低应用程序的速... 继续阅读 >