这几天太忙，继续连载哈哈，争取半个月结束。
上文说到数据库自带的不安全输入过滤功能，但这样的功能不是所有数据库都有的。目前大概只有MySQL,SQLite,PostgreSQL,Sybase带有这样的功能，而包括Oracle和SQL Server在内的很多数据库都没有。
鉴于这样的情况，一般开发者采用一种通用的方法来避免不安全的数据写入数据库--base64编码。这样可以避免所有可能引起问题的特殊字符造成的危险。但Base64编码后的数据容量大概会增加33%，比较占用空间。在PostgreSQL中，使用Base64编码数据还有个问题，就是无法使用'LIKE'查询。
所以总结这么多，我们知道光靠数据库自身的字符串屏蔽也是不行的。我们需要一种解决方案，在特殊字符影响到我们的Query语句之前，就把危险的字符过滤掉。预定义查询(Prepared queries/prepared statements)是一个非常好的方法。什么是预定义查询呢？ 它就相当于一个查询语句的模板，定义了查询语句的结构和某些部份的数据类型。如果我们提交的SQL语句符合这个模板的定义，就执行，否则就不执行，报出错误。
例如：
pg_query($conn, “PREPARE stmt_name (text) AS SELECT * FROM users WHERE name=$1”);
pg_query($conn, “EXECUTE stmt_name ({$name})”);
pg_query($conn, “DEALLOCATE stmt_name”);
PREPARE stmt_name (text) AS ..定义了一个查询的格式，这里除了$1之外的所有字符都是占位符，不允许更改。呵呵，我觉得这种方法实在是个好方法。不过可惜不是所有数据库都支持。。
0
0
PHP与SQL注入攻击[三]_PHP教程
php中文网
发布时间：2016-07-21 15:55:03
|981人浏览过
|来源于php中文网
原创
相关文章
php远程访问文件怎么打开_phpcurl验证远程证书法【安全】
php远程访问文件怎么打开_php远程配置文件读取加载法【加载】
php远程访问文件怎么打开_phpcurl组合请求远程多资源法【组合】
symfony升级麻烦吗_谈symfony大版本迁移注意点【升级】
PHP怎样对接数美AI内容安全_传文本调检测模型获分级【准法】
相关标签:
本站声明：本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn
热门AI工具
相关专题
PHP 表单处理与文件上传安全实战
本专题聚焦 PHP 在表单处理与文件上传场景中的实战与安全问题，系统讲解表单数据获取与校验、XSS 与 CSRF 防护、文件类型与大小限制、上传目录安全配置、恶意文件识别以及常见安全漏洞的防范策略。通过贴近真实业务的案例，帮助学习者掌握 安全、规范地处理用户输入与文件上传的完整开发流程。
3
2026.01.13
Java 项目构建与依赖管理（Maven / Gradle）
本专题系统讲解 Java 项目构建与依赖管理的完整体系，重点覆盖 Maven 与 Gradle 的核心概念、项目生命周期、依赖冲突解决、多模块项目管理、构建加速与版本发布规范。通过真实项目结构示例，帮助学习者掌握 从零搭建、维护到发布 Java 工程的标准化流程，提升在实际团队开发中的工程能力与协作效率。
19
2026.01.12
热门下载
相关下载
精品课程
相关推荐
/
热门推荐
/
最新课程
最新文章
