php防注入及開發(fā)安全詳細解析
更新時間：2013年08月09日 09:11:01 作者：
以下是對php防注入及開發(fā)安全進行了詳細的分析介紹，需要的朋友可以過來參考下
1、PHP注入的基本原理
程序員的水平及經驗也參差不齊，相當大一部分程序員在編寫代碼的時候，沒有對 用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段數據 庫查詢代碼，根據程序返回的結果，獲得某些他想得知的數據，這就是所謂的 SQL Injection，即SQL注入。 受影響的系統(tǒng)：對輸入的參數不進行檢查和過濾的系統(tǒng).
SQL注入過程
正常來講，我們通過地址接收一些必要的參數如：
頁面中我們會使用 2 寫入到SQL語句中
正常情況：Select * From Table where id=2
PHP100.php?id=2
如果我們對SQL語句熟悉，就知道2 我們可以替換成我們需要的SQL語句
如：and exists (select id from admin)
2、防止注入的幾種辦法
其實原來就是我們需要過濾一些我們常見的關鍵字和符合如：
Select，insert，update，delete，and，*，等等
例子:
復制代碼 代碼如下:
function inject_check($sql_str) {
return preg_match('/select|insert|update|delete|/'|///*|/*|/././/|/.//|union|into|load_file|outfile/i', $sql_str); // 進行過濾
}
或者是通過系統(tǒng)函數間的過濾特殊符號
Addslashes（需要被過濾的內容）
3、PHP其他地方安全設置
register_globals = Off 設置為關閉狀態(tài)
SQL語句書寫時盡量不要省略小引號和單引號
復制代碼 代碼如下:
Select * From Table Where id=2 (不規(guī)范)
Select * From ·Table· Where ·id·='2' (規(guī)范)
提高數據庫命名技巧，對于一些重要的字段可根據程序特點命名
對于常用方法加以封裝，避免直接暴露SQL語句
正確的使用 $_POST $_GET $_SESSION 等接受參數，并加以過濾
相關文章
微信公眾平臺開發(fā)教程④ ThinkPHP框架下微信支付功能圖文詳解
這篇文章主要介紹了微信公眾平臺開發(fā)ThinkPHP框架下微信支付功能,結合圖文形式詳細分析了基于thinkPHP框架的微信支付功能實現步驟、操作技巧與相關注意事項,需要的朋友可以參考下2019-04-04
這篇文章主要介紹了PHP MVC框架中類的自動加載機制,結合實例形式分析了MVC框架中類的自動加載機制原理、實現方法及相關操作注意事項,需要的朋友可以參考下2019-09-09
最近的項目中需要用到進制轉換，這個問題在剛剛接觸計算機理論時候，還是很會的，好久不用，居然模糊了……2016-04-04
想在PHP后臺管理直接能夠備份數據庫，于是想呀想，一直沒有什么思路，一開始是考慮用php來訪問服務器安裝mysql的目錄，比如 /usr/local/mysql/data目錄，直接把下面對應的文件進行備份2009-03-03
PHP+MySQL+sphinx+scws實現全文檢索功能詳解
這篇文章主要介紹了PHP+MySQL+sphinx+scws實現全文檢索功能,詳細分析了sphinx、scws的下載安裝、配置、數據庫創(chuàng)建及全文檢索功能的相關實現技巧,需要的朋友可以參考下2019-08-08
這篇文章主要介紹了php有序列表或數組中刪除指定的值的實現代碼,刪除給定的值之后，得到一個新的有序列表，長度-1，下面是具體的實現方法2021-08-08
這篇文章主要介紹了PHP輸出兩個數字中間有多少個回文數的方法,實例分析了回文數的概念與相關判斷技巧,需要的朋友可以參考下2015-03-03
這篇文章主要介紹了php獲取圖片信息的方法,結合實例形式較為詳細的分析了php獲取圖片信息的相關函數及用法,并給出了通過自定義函數實現獲取圖片信息的方法演示,需要的朋友可以參考下2015-12-12
PHP取得文件后綴，關于獲取文件的擴展名有很多種方式，下面提供三種獲取文件后綴的方法，大家可以研究下，具體代碼就不解釋了。直接看代碼吧2012-10-10
探討Smarty中如何獲取數組的長度以及smarty調用php函數的詳解
本篇文章是對Smarty中如何獲取數組的長度以及smarty調用php函數的方法進行了詳細的分析介紹，需要的朋友參考下2013-06-06