導航:首頁 > 編程語言 > php危險字元
php危險字元
發布時間：2023-09-06 16:48:20『壹』 php中防止SQL注入，該如何解決
防sql注入的一個簡單方法就是使用框架，一般成熟框架中會集成各種安全措施。
當然也可以自己處理，如果用戶的輸入能直接插入到SQL語句中，那麼這個應用就易收到SQL注入的攻擊。我認為最重要的一點，就是要對數據類型進行檢查和轉義。
php.ini
------------
display_errors 選項，應該設為display_errors = off。這樣 php 腳本出錯之後，不會在 web 頁面輸出錯誤，以免讓攻擊者分析出有作的信息。
打開magic_quotes_gpc來防止SQL注入，magic_quotes_gpc= Off，這個默認是關閉的，如果它打開後將自動把用戶提交對sql的查詢進行轉換，比如把 ' 轉為 '等，對於防止sql注射有重大作用。如果magic_quotes_gpc=Off，則使用addslashes()函數。
mysql 函數
---------------
調用mysql_query 等mysql 函數時，前面應該加上 @，即 @mysql_query(...)，這樣 mysql 錯誤不會被輸出。同理以免讓攻擊者分析出有用的信息。另外，有些程序員在做開發時，當mysql_query出錯時，習慣輸出錯誤以及sql 語句。
mysql_real_escape_string -- 轉義 SQL 語句中使用的字元串中的特殊字元，並考慮到連接的當前字元集。
Sql語句
------------
對提交的 sql 語句，進行轉義和類型檢查。如果請求是數值型，那麼調用is_numeric() 判斷是否為數值。如果不是，則返回程序指定的默認值。簡單起見，對於文本串，我將用戶輸入的所有危險字元（包括HTML代碼），全部轉義。由於php 函數addslashes()存在漏洞，我用str_replace()直接替換。get_magic_quotes_gpc()函數是php 的函數，用來判斷magic_quotes_gpc 選項是否打開。
其它
---------
使用預處理語句和參數化查詢（PDO或mysqli）。預處理語句和參數分別發送到資料庫伺服器進行解析，參數將會被當作普通字元處理。這種方式使得攻擊者無法注入惡意的SQL。
與php危險字元相關的資料
- php與jquery開發實例
- 編程大世界故事漫畫
- ubuntu編程入門
- java字體代碼
- 0到99c語言編程
- const是java的關鍵字
- 自製可編程計算機
- java培訓機構上海
- pm和hm哪個軟體編程好
- 從java到Android
- opengl游戲編程徐明亮pdf
- php中的oop
- vba編程環境
- pythonbinlog
- 鑽圓周孔編程
- 相機編程拍照
- java代碼執行順序執行
- java弧度
- ocr中文java
- chromephp插件
- js向php傳遞參數
- php分頁局部刷新
- phpparsehtml
- python後端開發博客
- java動態數組定義
- php培訓出來找不到工作
- python整數整除負數
- php資料庫登錄界面
- rstudiopython
- php選擇資料庫的函數
- php開發後台管理系統
- python二分查找遞歸
- php判斷一個文件是否存在
- php導出xml文件
- python實現機器碼
- php數組轉化json
- 像搭積木一樣的編程叫什麼編程
- 編程能提升什麼
- java與類名相同
- javaudp心跳
- 機械手臂編程自動化
- jasperjava