首先来看下不做任何处理的php登录，首先是HTML页面代码

<html>

    <head><title>用户登录</title></head>

    <body>

        <fieldset>

        <legend><h3>用户登录</h3></legend>

        <form action="user_login_pro.php" method="post">

        用户账号：<input type="text" name="name"><br><br>

        用户密码：<input type="password" name="password"><br><br>

        <input type="submit" value="登录">

        </form>

        </fieldset>

    </body>

</html>

其次是php处理代码：

//引入PDO连库文件

require './database/db.php';

$name = $_POST['name'];

$password = $_POST['password'];

$sql = "select * from user where name ='{$name}' and password ='{$password}'";

$res = $pdo->query($sql);

$row = $res->fetch(PDO::FETCH_ASSOC);

if($row){

    echo "login success";

 }else{

    echo "login error";

 }

页面效果：

从上面的代码可见，我们输入账户名密码后，进入处理页面，与数据库作对比，如果账号密码都正确的情况之下，输出login success ，错误则输出login error。运行效果也正常，但如果我们在账户名处输入如下代码【' or 1=1 #】也会输出login success。这就是sql注入，通过一些代码改变了我们的sql语句，我们输出一次sql语句是什么样子的呢？select * from user where name ='' or 1=1 #' and password =''；可以发现这条sql语句变成了恒成立的语句，诸如此类的方式其实有很多，那么我们怎么防止sql注入呢？

1.使用pdo预处理

//1.准备预处理语句

 $sql = "select * from user where name =? and password =?";

 $res = $pdo->prepare($sql);

 //2.绑定参数

 $name = $_POST['name'];

 $password = $_POST['password'];

 $res->bindParam(1,$name);

 $res->bindparam(2,$password);

 //3.执行预处理语句

 $res->execute();

//4.转成一条结果

 $row = $res->fetch(PDO::FETCH_ASSOC);

//5.判断

if($row){

    echo "login success";

}else{

    echo "login error";

}

我们用？占位符把公共的操作部分 与 可变的数据部分相分离。根据上面的步骤执行一遍，再用 【' or 1=1 #】去测试，输出login error。成功防止。

2.addslashes()函数转义

$name = addslashes($_POST['name']);

$password = $_POST['password'];

$sql = "select * from user where name ='{$name}' and password ='{$password}'";

//print_r($sql);die();

$res = $pdo->query($sql);

$row = $res->fetch(PDO::FETCH_ASSOC);

if($row){

    echo "login success";

 }else{

    echo "login error";

 }

还用上面的sql注入，结果也是失败的。证明防止成功。addslashes() 函数在指定的预定义字符前添加反斜杠。这些字符是单引号（'）、双引号（"）、反斜线（\）与NUL（NULL字符）。在使用这种方式后，sql语句就变为了：select * from user where name ='\' or 1=1 #' and password ='1234567'；

3.intval（）

在很多时候我们要用到类似xxx.php?id=xxx这样的URL，一般来说$id都是整型变量，为了防范攻击者把$id篡改成攻击语句，我们要尽量强制变量，PHP防范SQL注入的代码$id=intval($_GET['id']);

//intval() 防止整数类型被改变

$id="abc123";

echo intval($id);

输出结果为0；可以知道intval（）可以将字符串转成整数，故而可以防止整数类型被改变。

2017-07-25 PDO预处理以及防止sql注入的更多相关文章

  1. MySQL pdo预处理能防止sql注入的原因

    MySQL pdo预处理能防止sql注入的原因: 1.先看预处理的语法 $pdo->prepare('select * from biao1 where id=:id'); $pdo->e ...

  2. PDO预处理语句规避SQL注入攻击

    所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令.在某些表单中,用户输入的内容直接用来构造(或者影响)动态SQL命令,或作为存 ...

  3. PHP中使用PDO的预处理功能避免SQL注入

    不使用预处理功能 <?php $id = $_GET['id']; $dsn = 'mysql:host=localhost;port=3306;dbname=database'; try { ...

  4. 预处理（防止sql注入的一种方式）

    <!--- 预处理(预编译) ---><?php/* 防止 sql 注入的两种方式: 1. 人为提高代码的逻辑性,使其变得更严谨,滴水不漏. 比如说 增加判断条件,增加输入过滤等,但 ...

  5. 为什么说Mysql预处理可以防止SQL注入

    简单点理解:prepareStatement会形成参数化的查询,例如:1select * from A where tablename.id = ?传入参数'1;select * from B'如果不 ...

  6. SQL注入汇总（手注，盲注，报错注入，宽字节，二次编码，http头部）{10.22、23 第二十四 二十五天}

    首先什么是SQL注入: 所谓SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令. SQL注入有什么危害? 危害:数据泄露.脱库 ...

  7. 【DVWA】【SQL Injection】SQL注入 Low Medium High Impossible

    1.初级篇 low.php 先看源码,取得的参数直接放到sql语句中执行 if( isset( $_REQUEST[ 'Submit' ] ) ) { // Get input $id = $_REQ ...

  8. CTF SQL注入

    目录 一.宽字节注入 二.基于约束的注入 三.报错注入 四.时间盲注 五.bool盲注 六.order by的注入 六.INSERT.UPDATE.DELETE相关的注入 七.堆叠注入 八.常用绕过 ...

  9. php+mysql如何防止sql注入

    方法: 1.预处理.(预处理语句针对SQL注入是非常有用的,因为参数值发送后使用不同的协议,保证了数据的合法性.) 2.mysql_real_escape_string -- 转义 SQL 语句中使用 ...

随机推荐

  1. 微信小程序获取当前地理位置

    获取用户地理位置,需要用到以下三个api方法:   wx.getSetting() : 获取用户的授权列表信息 wx.openSetting():调起客户端小程序设置界面 wx.getLocation ...

  2. Gevent简明教程

    Gevent简明教程  发表于 2015-11-28 |  分类于 技术| |  阅读次数 5159 前述 进程 线程 协程 异步 并发编程(不是并行)目前有四种方式:多进程.多线程.协程和异步. 多 ...

  3. (转)LoadRunner之录制你的第一个脚本

    LoadRunner安装完成之后,肯定就迫不及待的想要上手试用了.下面就是讲一下LR脚本录制的流程和基本的设置. 1.先放一张脚本录制以及运行的流程图 2.脚本录制步骤 1)以管理员身份打开LR软件, ...

  4. docker配置阿里云的仓库源以及安装docker-compose

    [root@localhost mnt]# cat /etc/docker/daemon.json { "registry-mirrors": ["https://3la ...

  5. 大幅度改变celery日志外观，修改成日志可点击跳转和鲜艳五彩日志，解决脚本中已添加handler的logger和框架日志重复记录问题。

    大幅度改变celery日志外观,修改成日志可点击跳转和鲜艳五彩日志,解决脚本中已添加handler的logger和框架日志重复记录问题.打猴子补丁. 先把脚本中的所有logger的handlers全部 ...

  6. jzy3D从入门到弃坑_2使用jzy3D0.9画2D散点图

    jzy3D从入门到弃坑_2 使用jzy3D0.9画2D散点图 觉得有用的话,欢迎一起讨论相互学习~Follow Me 在上一节中安装jzy3D 0.9版本并且运行了3D的例子 https://blog ...

  7. Qt之如何自定义model

    Qt之如何自定义model https://blog.csdn.net/wei375653972/article/details/86592209

  8. iOS史上最简单修改导航栏分隔线颜色方法!!!

    override func viewDidLoad() { super.viewDidLoad() if let imageView = self.findNavLineView(view: navi ...

  9. 用js实现call方法

    Function.prototype.call2 = function (context, ...args) {   var context = context || window;   //改变th ...

  10. spring较为常用注解

    @Configuration 从Spring3.0,@Configuration用于定义配置类,可替换xml配置文件,被注解的类内部包含有一个或多个被@Bean注解的方法,这些方法将会被Annotat ...