SQL注入是PHP网站常见的安全威胁之一

PHP网站SQL注入防护指南

SQL注入是PHP网站常见的安全威胁之一，攻击者通过构造恶意SQL语句来操纵数据库查询。以下是关于PHP网站SQL注入的详细信息和防护措施：

常见SQL注入漏洞

1. 直接拼接用户输入到SQL语句
2. php
3. // 危险示例$sql = "SELECT * FROM users WHERE username = '" . $_POST['username'] . "'";
4. 使用不安全的函数
   • (已废弃)

• mysql_query()
  • 不当使用或PDO
• mysqli_query()

1. 动态订单/排序参数
2. php
3. // 危险示例$order = $_GET['order'] ?? 'id';$sql = "SELECT * FROM products ORDER BY $order";

防护措施

1. 使用预处理语句(Prepared Statements)

PDO方式

php

$pdo = new PDO6', 'user', 'pass');$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');$stmt->execute(['username' => $_POST['username']]);$results = $stmt->fetchAll();

MySQLi方式

php

$mysqli = new mysqli('localhost', 'user', 'pass', 'test');$stmt = $mysqli->prepare('SELECT * FROM users WHERE username = ?');$stmt->bind_param('s', $_POST['username']);$stmt->execute();$result = $stmt->get_result();

2. 输入验证和过滤

php

// 验证邮箱格式if (!filter_var($_POST['email'], FILTER_VALIDATE_EMAIL)) { die('无效的邮箱地址');}// 验证数字ID$id = isset($_GET['id']) ? (int)$_GET['id'] : 0;

3. 最小权限原则

数据库用户应仅具有必要的最小权限，避免使用root/admin账户。

4. 其他安全措施

• 使用Web应用防火墙(WAF)
• 定期更新PHP和数据库系统
• 错误处理：不要显示数据库错误给用户
• php
• // 在生产环境中关闭错误显示ini_set('display_errors', 0);

检测SQL注入漏洞

1. 手动测试
   • 尝试输入单引号()观察错误
   • 测试等经典注入语句

• 1' OR '1'='1
  • 测试注释符(,)

1. 自动化工具
   • SQLMap
   • Burp Suite
   • OWASP ZAP

修复已存在的漏洞

如果发现网站存在SQL注入漏洞：

1. 立即暂停受影响的功能
2. 分析漏洞点
3. 应用上述防护措施
4. 测试修复效果
5. 监控异常数据库活动

最佳实践

• 始终使用现代数据库扩展(PDO或MySQLi)
• 避免拼接SQL语句
• 对动态排序/过滤参数使用白名单验证
• 实施深度防御策略(多层安全措施)

通过实施这些措施，可以显著降低PHP网站遭受SQL注入攻击的风险。