SQL 注入防御

1. 什么是 SQL 注入？

SQL 注入是一种常见的网络安全漏洞，攻击者通过在输入字段中插入恶意的 SQL 代码，从而操纵数据库查询。这种攻击可能导致数据泄露、数据损坏，甚至完全控制数据库服务器。

1.1 示例

假设我们有一个简单的登录表单，用户输入用户名和密码。后端的 SQL 查询可能是这样的：

$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

如果攻击者在用户名输入框中输入 ' OR '1'='1，那么 SQL 查询将变成：

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = ''

由于 '1'='1' 始终为真，这个查询将返回所有用户记录，从而绕过身份验证。

2. SQL 注入的危害

• 数据泄露：攻击者可以获取敏感数据，如用户信息、密码等。
• 数据损坏：攻击者可以删除或修改数据库中的数据。
• 服务器控制：在极端情况下，攻击者可以完全控制数据库服务器。

3. 如何防御 SQL 注入

3.1 使用预处理语句 (Prepared Statements)

预处理语句是防御 SQL 注入的最有效方法之一。PDO (PHP Data Objects) 和 MySQLi 都支持预处理语句。

3.1.1 PDO 示例

$pdo = new PDO('mysql:host=localhost;dbname=testdb', 'username', 'password');

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');
$stmt->execute([':username' => $username, ':password' => $password]);

$user = $stmt->fetch();

3.1.2 MySQLi 示例

$mysqli = new mysqli('localhost', 'username', 'password', 'testdb');

$stmt = $mysqli->prepare('SELECT * FROM users WHERE username = ? AND password = ?');
$stmt->bind_param('ss', $username, $password);
$stmt->execute();

$result = $stmt->get_result();
$user = $result->fetch_assoc();

3.2 输入验证和过滤

虽然预处理语句是最有效的方法，但输入验证和过滤也是重要的补充措施。

3.2.1 输入验证

确保用户输入符合预期的格式和类型。例如，用户名和密码应该是字符串，并且长度在合理范围内。

if (strlen($username) > 50 || strlen($password) > 50) {
    die('Invalid input');
}

3.2.2 输入过滤

使用 htmlspecialchars 或 strip_tags 等函数过滤用户输入，防止 XSS 攻击。

$username = htmlspecialchars($_POST['username'], ENT_QUOTES, 'UTF-8');
$password = htmlspecialchars($_POST['password'], ENT_QUOTES, 'UTF-8');

4. 实践练习

4.1 创建一个简单的登录表单

创建一个 HTML 表单，用户可以输入用户名和密码。

<form method="POST" action="login.php">
    <label for="username">Username:</label>
    <input type="text" id="username" name="username">
    <br>
    <label for="password">Password:</label>
    <input type="password" id="password" name="password">
    <br>
    <input type="submit" value="Login">
</form>

4.2 实现安全的登录逻辑

在 login.php 中实现安全的登录逻辑，使用预处理语句和输入验证。

<?php
$pdo = new PDO('mysql:host=localhost;dbname=testdb', 'username', 'password');

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = $_POST['username'];
    $password = $_POST['password'];

    if (strlen($username) > 50 || strlen($password) > 50) {
        die('Invalid input');
    }

    $stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');
    $stmt->execute([':username' => $username, ':password' => $password]);

    $user = $stmt->fetch();

    if ($user) {
        echo 'Login successful!';
    } else {
        echo 'Invalid username or password.';
    }
}
?>

5. 总结

SQL 注入是一种严重的安全威胁，但通过使用预处理语句、输入验证和过滤，可以有效地防御这种攻击。作为开发者，始终要保持警惕，确保应用程序的安全性。

6. 进一步学习

• PDO 和 MySQLi 文档：深入了解 PDO 和 MySQLi 的更多功能和用法。
• OWASP SQL 注入指南：学习更多关于 SQL 注入的防御策略和最佳实践。
• 安全编码实践：了解其他常见的安全漏洞和防御方法，如 XSS、CSRF 等。

通过不断学习和实践，你将能够构建更安全、更可靠的 Web 应用程序。