PHP使用PDO实现mysql防注入功能详解
php  /  管理员 发布于 6年前   101
本文实例讲述了PHP使用PDO实现mysql防注入功能。分享给大家供大家参考,具体如下: 1、什么是注入攻击 例如下例: 前端有个提交表格: 后台的处理如下: 正常情况下,如果你输入姓名为小王,密码xiaowang,会登陆成功,sql语句如下: 但是如果你输入姓名为 ' or 1=1 #,密码随便输一个,也会登陆成功,sql语句为: 可以看到username='' or 1=1,#注释调了之后的password语句,由于 1=1恒成立,因此这条语句会返回大于1的结果集,从而使验证通过。 2、使用quote过滤特殊字符,防止注入 在sql语句前加上一行,将username变量中的‘等特殊字符过滤,可以起到防止注入的效果 sql语句为: 可以看到“'”被转义\',并且自动为变量$username加上了引号 3、通过预处理语句传递参数,防注入 其中的占位符也可以为? 4、通过bind绑定参数 bindParam()方法绑定一个变量到查询语句中的参数: 使用问号做占位符: 使用其中bindValue()方法给第三个占位符绑定一个常量'[email protected]',它不随变量的变化而变化。 bindColumn()方法绑定返回结果集的一列到变量: 更多关于PHP相关内容感兴趣的读者可查看本站专题:《PHP基于pdo操作数据库技巧总结》、《php+mysqli数据库程序设计技巧总结》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》 希望本文所述对大家PHP程序设计有所帮助。
query($sql); //rowCount()方法返回结果条数或者受影响的行数 if($stmt->rowCount()>0){ echo "登陆成功!"};
select * from login WHERE username='小王' AND password='xiaowang'
登陆成功!select * from login WHERE username='' or 1=1 #' AND password='xiaowang'
登陆成功!//通过quote方法,返回带引号的字符串,过滤调特殊字符$username=$pdo->quote($username);$sql="select * from login WHERE username={$username} AND password='{$password}' ";echo $sql;$stmt=$pdo->query($sql);//rowCount()方法返回结果条数或者受影响的行数if($stmt->rowCount()>0){ echo "登陆成功!";};
select * from login WHERE username='\' or 1=1 #' AND password='xiaowang'
//通过占位符:username,:password传递值,防止注入$sql="select * from login WHERE username=:username AND password=:password";$stmt=$pdo->prepare($sql);//通过statement对象执行查询语句,并以数组的形式赋值给查询语句中的占位符$stmt->execute(array(':username'=>$username,':password'=>$password));echo $stmt->rowCount();
//占位符为?$sql="select * from login WHERE username=? AND password=?";$stmt=$pdo->prepare($sql);//数组中参数的顺序与查询语句中问号的顺序必须相同$stmt->execute(array($username,$password));echo $stmt->rowCount();
$sql="insert login(username,password,upic,mail) values(:username,:password,:age,:mail)";$stmt=$pdo->prepare($sql);//第三个参数可以指定参数的类型PDO::PARAM_STR为字符串,PDO::PARAM_INT为整型数$stmt->bindParam(":username",$username,PDO::PARAM_STR);$stmt->bindParam(":password",$password,PDO::PARAM_STR);$stmt->bindParam(":age",$age,PDO::PARAM_INT);//使用bindValue()方法绑定一个定值$stmt->bindValue(":mail",'[email protected]');$stmt->execute();echo $stmt->rowCount();
$sql="insert login(username,password,mail) values(?,?,?)";//注意不是中文状态下的问号? $stmt=$pdo->prepare($sql); //按照?的顺序绑定参数值 $stmt->bindParam(1,$username); $stmt->bindParam(2,$password); $stmt->bindValue(3,'[email protected]'); $stmt->execute(); echo $stmt->rowCount();
$sql='SELECT * FROM user';$stmt=$pdo->prepare($sql);$stmt->execute();$stmt->bindColumn(2,$username);$stmt->bindColumn(4,$email);while($stmt->fetch(PDO::FETCH_BOUND)){ echo '用户名:'.$username.",邮箱:".$email.'
';}您可能感兴趣的文章:
123 在
Clash for Windows作者删库跑路了,github已404中评论 按理说只要你在国内,所有的流量进出都在监控范围内,不管你怎么隐藏也没用,想搞你分..原梓番博客 在
在Laravel框架中使用模型Model分表最简单的方法中评论 好久好久都没看友情链接申请了,今天刚看,已经添加。..博主 在
佛跳墙vpn软件不会用?上不了网?佛跳墙vpn常见问题以及解决办法中评论 @1111老铁这个不行了,可以看看近期评论的其他文章..1111 在
佛跳墙vpn软件不会用?上不了网?佛跳墙vpn常见问题以及解决办法中评论 网站不能打开,博主百忙中能否发个APP下载链接,佛跳墙或极光..路人 在
php中使用hyperf框架调用讯飞星火大模型实现国内版chatgpt功能示例中评论 教程很详细,如果加个前端chatgpt对话页面就完美了..Copyright·© 2019 侯体宗版权所有· 粤ICP备20027696号