仿sql注入 sql

<?php
class sqlsafe {

//(and|or)\\b  表示以and和or结尾的单词如：aand，band，都可以匹配
//如果匹配and或or则使用 \\b(and|or)\\b来匹配单词;
//  \\/  匹配/  在写法上\/表示意义相同
//  \\*  匹配*   在写法上\*表示意义相同
//  \\s  表示匹配空白字符；

   private $getfilter = "|(and|or)\\b.+?(>|<|=|in|like)|\\/\\*.+?\\*\\/|
  <\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|
  UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|
  (CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";

   //int preg_match ( string $pattern , string $subject [, array &$matches [,
    // int $flags = 0 [, int $offset = 0 ]]] )
    //搜索subject与pattern给定的正则表达式的一个匹配.
    //如果提供了参数matches, 它讲被填充为搜索结果. $matches[0]将包含完整模式
    //匹配到的文本, $matches[1] 将包含第一个捕获子组匹配到的文本, 以此类推
    //  \\b(and|or)\\b.{1,6}?  匹配and or后面的第一个字符
private $postfilter = "\\b(and|or)\\b.{1,6}?(=|>|<|\\bin\\b|\\blike\\b)|
\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|
INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)
\\s+(TABLE|DATABASE)";

 private $cookiefilter = "\\b(and|or)\\b.{1,6}?(=|>|<|\\bin\\b|\\blike\\b)|\\/\\*.+?\\*\\/|
 <\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|
(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";

  /**
   * 构造函数
   */
  public function __construct() {
      if(!empty($_GET)){
          foreach($_GET as $key=>$value)
              {$this->stopattack($key,$value,$this->getfilter);}
      }

      if(!empty($_POST)) {
          foreach ($_POST as $key => $value) {
              $this->stopattack($key, $value, $this->postfilter);
          }
      }
      if(!empty($_POST)) {
          foreach ($_COOKIE as $key => $value) {
              $this->stopattack($key, $value, $this->cookiefilter);
          }
      }
  }
  /**
   * 参数检查并写日志
   */
  public function stopattack($StrFiltKey, $StrFiltValue, $ArrFiltReq){
    if(is_array($StrFiltValue))$StrFiltValue = implode($StrFiltValue);
    if (preg_match("/".$ArrFiltReq."/is",$StrFiltValue,$arr) == 1){
        var_dump($arr);
   //   $this->writeslog($_SERVER["REMOTE_ADDR"]."    ".strftime("%Y-%m-%d %H:%M:%S")." 
   ".$_SERVER["PHP_SELF"]."    ".$_SERVER["REQUEST_METHOD"]."    ".$StrFiltKey."    ".$StrFiltValue);
      echo ('您提交的参数非法,系统已记录您的本次操作！');
    }
  }
  /**
   * SQL注入日志
   */
  public function writeslog($log){
    $log_path = CACHE_PATH.'logs'.DIRECTORY_SEPARATOR.'sql_log.txt';
    $ts = fopen($log_path,"a+");
    fputs($ts,$log."\r\n");
    fclose($ts);
  }
}

$sql=new sqlsafe();

?>