日本综合一区二区|亚洲中文天堂综合|日韩欧美自拍一区|男女精品天堂一区|欧美自拍第6页亚洲成人精品一区|亚洲黄色天堂一区二区成人|超碰91偷拍第一页|日韩av夜夜嗨中文字幕|久久蜜综合视频官网|精美人妻一区二区三区

這篇文章主要講解了“MySQL怎么避免SQL注入風險”，文中的講解內(nèi)容簡單清晰，易于學習與理解，下面請大家跟著小編的思路慢慢深入，一起來研究和學習“Mysql怎么避免SQL注入風險”吧！

成都創(chuàng)新互聯(lián)公司是一家集網(wǎng)站建設(shè),金安企業(yè)網(wǎng)站建設(shè),金安品牌網(wǎng)站建設(shè),網(wǎng)站定制,金安網(wǎng)站建設(shè)報價,網(wǎng)絡(luò)營銷,網(wǎng)絡(luò)優(yōu)化,金安網(wǎng)站推廣為一體的創(chuàng)新建站企業(yè)，幫助傳統(tǒng)企業(yè)提升企業(yè)形象加強企業(yè)競爭力?？沙浞譂M足這一群體相比中小企業(yè)更為豐富、高端、多元的互聯(lián)網(wǎng)需求。同時我們時刻保持專業(yè)、時尚、前沿，時刻以成就客戶成長自我，堅持不斷學習、思考、沉淀、凈化自己，讓我們?yōu)楦嗟钠髽I(yè)打造出實用型網(wǎng)站。

 當 我們使用傳統(tǒng)的 mysql_connect 、mysql_query方法來連接查詢數(shù)據(jù)庫時，如果過濾不嚴，就有SQL注入風險，導致網(wǎng)站被攻擊，失 去控制。雖然可以用mysql_real_escape_string()函數(shù)過濾用戶提交的值，但是也有缺陷。而使用PHP的PDO擴展 的 prepare 方法，就可以避免sql injection 風險。

    PDO(PHP Data Object) 是 PHP5新加入的一個重大功能，因為在PHP 5以前的php4/php3都是一堆的數(shù)據(jù)庫擴展來跟各個數(shù)據(jù)庫的連接和處理， 如 php_mysql.dll。 PHP6中也將默認使用PDO的方式連接，mysql擴展將被作為輔助 。官方：http://php.net/manual/en/book.pdo.php
    1、PDO配置 
    使 用PDO擴展之前，先要啟用這個擴展，PHP.ini中，去掉"extension=php_pdo.dll"前面的";"號,若要連接數(shù)據(jù)庫，還需要去 掉與PDO相關(guān)的數(shù)據(jù)庫擴展前面的";"號（一般用的是php_pdo_mysql.dll），然后重啟Apachewhile ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
    print_r($row);
}
}

    【下面飄易來說說重點了，如何防止 sql注入】。
    使用PDO訪問MySQL數(shù)據(jù)庫時，真正的real prepared statements 默認情況下是不使用的。為了解決這個問題，你必須禁用 prepared statements的仿真效果。下面是使用PDO創(chuàng)建鏈接的例子：

$dbh = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

    setAttribute（） 這一行是強制性的，它會告訴 PDO 禁用模擬預處理語句，并使用 real parepared statements 。這可以確保SQL語句和相應 的值在傳遞到mysql服務(wù)器之前是不會被PHP解析的（禁止了所有可能的惡意SQL注入攻擊）。
    雖然你可以配置文件中設(shè)置字符集的屬性(charset=utf8)，但是需要格外注意的是，老版本的 PHP（ < 5.3.6）在DSN中是忽略字符參數(shù)的。
     我們來看一段完整的代碼使用實例：

$dbh = new PDO("mysql:host=localhost; dbname=demo", "user", "pass");
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names 'utf8'"); 
$sql="select * from test where name = ? and password = ?";
$stmt = $dbh->prepare($sql); 
$exeres = $stmt->execute(array($testname, $pass)); 
if ($exeres) { 
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
    print_r($row);
}
}
$dbh = null;

    上面這段代碼就可以防范sql注入。為什么呢？
     當調(diào)用 prepare() 時，查詢語句已經(jīng)發(fā)送給了數(shù)據(jù)庫服務(wù)器，此時只有占位符 ? 發(fā)送過去，沒有用戶提交的數(shù)據(jù)；當調(diào)用到 execute()時，用戶提交過來的值才會傳送給數(shù)據(jù)庫，他們是分開傳送的，兩者獨立的，SQL攻擊者沒有一點機會。
    但是我們需要注意的是以下幾種情況，PDO并不能幫助你防范SQL注入
 原文地址來自php教程http://www.software8.co/wzjs/PHPshili/2834.html
1、你不能讓占位符 ? 代替一組值，如：

SELECT * FROM blog WHERE userid IN ( ? );

2、你不能讓占位符代替數(shù)據(jù)表名或列名，如：

SELECT * FROM blog ORDER BY ?;

3、你不能讓占位符 ? 代替任何其他SQL語法，如：

SELECT EXTRACT( ? FROM datetime_column) AS variable_datetime_element FROM blog;

感謝各位的閱讀，以上就是“Mysql怎么避免SQL注入風險”的內(nèi)容了，經(jīng)過本文的學習后，相信大家對Mysql怎么避免SQL注入風險這一問題有了更深刻的體會，具體使用情況還需要大家實踐驗證。這里是創(chuàng)新互聯(lián)，小編將為大家推送更多相關(guān)知識點的文章，歡迎關(guān)注！