PHP进阶：H5站长SQL注入防护实战
|
SQL注入是Web安全中最常见且危害极大的漏洞之一，尤其在PHP+MySQL的H5站点中，若直接拼接用户输入构建SQL语句，攻击者可绕过登录、窃取数据甚至删除整库。 最有效、最推荐的防护方式是使用PDO预处理语句。它将SQL逻辑与参数严格分离，数据库引擎自动转义所有变量值。例如：$stmt = $pdo->prepare("SELECT FROM users WHERE username = ? AND status = ?"); $stmt->execute([$user, 1]); 即使$user传入'admin' OR '1'='1，也不会影响查询逻辑。 若沿用mysqli扩展，也应坚持使用面向对象风格的预处理：$stmt = $mysqli->prepare("INSERT INTO logs (ip, action) VALUES (?, ?)"); $stmt->bind_param("ss", $ip, $action); $stmt->execute(); 这比mysqli_real_escape_string更彻底，不依赖字符集配置，避免双编码绕过风险。 务必关闭错误信息的页面级输出。在生产环境中设置display_errors=Off，并启用error_log记录详细错误。否则报错中暴露的SQL结构（如字段名、表名）会为攻击者提供关键线索。 对数字型参数，强制类型转换是轻量但有效的补充手段：$id = (int)$_GET['id']; if ($id > 0) { / 安全使用 / }。但该方法不可替代预处理，仅适用于明确预期为整数的场景。 永远不要信任任何客户端输入——包括URL参数、表单字段、HTTP头（如X-Forwarded-For）、甚至Cookie内容。即使是隐藏域或JS生成的token，后端也必须视为不可信来源，统一校验与过滤。
AI设计的框架图，仅供参考 定期使用开源工具（如sqlmap）进行自查，并将SQL注入纳入CI/CD安全扫描环节。真实H5项目中，一个未过滤的$_POST['search']就可能让整个用户库在10秒内被拖走。安全不是锦上添花，而是每一行代码的默认契约。（编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
