导航:首页 > 编程语言 > php危险字符
php危险字符
发布时间：2023-09-06 16:48:20‘壹’ php中防止SQL注入，该如何解决
防sql注入的一个简单方法就是使用框架，一般成熟框架中会集成各种安全措施。
当然也可以自己处理，如果用户的输入能直接插入到SQL语句中，那么这个应用就易收到SQL注入的攻击。我认为最重要的一点，就是要对数据类型进行检查和转义。
php.ini
------------
display_errors 选项，应该设为display_errors = off。这样 php 脚本出错之后，不会在 web 页面输出错误，以免让攻击者分析出有作的信息。
打开magic_quotes_gpc来防止SQL注入，magic_quotes_gpc= Off，这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，比如把 ' 转为 '等，对于防止sql注射有重大作用。如果magic_quotes_gpc=Off，则使用addslashes()函数。
mysql 函数
---------------
调用mysql_query 等mysql 函数时，前面应该加上 @，即 @mysql_query(...)，这样 mysql 错误不会被输出。同理以免让攻击者分析出有用的信息。另外，有些程序员在做开发时，当mysql_query出错时，习惯输出错误以及sql 语句。
mysql_real_escape_string -- 转义 SQL 语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集。
Sql语句
------------
对提交的 sql 语句，进行转义和类型检查。如果请求是数值型，那么调用is_numeric() 判断是否为数值。如果不是，则返回程序指定的默认值。简单起见，对于文本串，我将用户输入的所有危险字符（包括HTML代码），全部转义。由于php 函数addslashes()存在漏洞，我用str_replace()直接替换。get_magic_quotes_gpc()函数是php 的函数，用来判断magic_quotes_gpc 选项是否打开。
其它
---------
使用预处理语句和参数化查询（PDO或mysqli）。预处理语句和参数分别发送到数据库服务器进行解析，参数将会被当作普通字符处理。这种方式使得攻击者无法注入恶意的SQL。
与php危险字符相关的资料
- 自制可编程计算机
- java培训机构上海
- pm和hm哪个软件编程好
- 从java到Android
- opengl游戏编程徐明亮pdf
- php中的oop
- vba编程环境
- pythonbinlog
- 钻圆周孔编程
- 相机编程拍照
- java代码执行顺序执行
- java弧度
- ocr中文java
- chromephp插件
- js向php传递参数
- php分页局部刷新
- phpparsehtml
- python后端开发博客
- java动态数组定义
- php培训出来找不到工作
- python整数整除负数
- php数据库登录界面
- rstudiopython
- php选择数据库的函数
- php开发后台管理系统
- python二分查找递归
- php判断一个文件是否存在
- php导出xml文件
- python实现机器码
- php数组转化json
- 像搭积木一样的编程叫什么编程
- 编程能提升什么
- java与类名相同
- javaudp心跳
- 机械手臂编程自动化
- jasperjava
- javalong赋值
- javablob类型
- javastatic数组
- phpjava性能比较
- php防止mysql注入
- php科学计数法转换