如何用mysqli防范sql注入

使用mysqli防范SQL注入的關(guān)鍵在于正確使用預(yù)處理語句（prepared statements）和參數(shù)綁定。以下是一些關(guān)鍵步驟和最佳實(shí)踐：

1. 使用mysqli對象：確保你使用的是mysqli對象而不是mysql對象，因?yàn)閙ysqli提供了預(yù)處理語句的支持。
2. 創(chuàng)建預(yù)處理語句：使用mysqli_prepare()函數(shù)創(chuàng)建一個(gè)預(yù)處理語句。這個(gè)函數(shù)接受兩個(gè)參數(shù)：數(shù)據(jù)庫連接對象和SQL語句字符串。
3. 綁定參數(shù)：使用mysqli_stmt_bind_param()函數(shù)將參數(shù)綁定到預(yù)處理語句中。這個(gè)函數(shù)接受三個(gè)參數(shù)：預(yù)處理語句對象、變量類型數(shù)組和變量值數(shù)組。注意，變量類型數(shù)組中的每個(gè)元素對應(yīng)一個(gè)參數(shù)，類型應(yīng)該是mysqli_param_type_*中的一個(gè)，例如MYSQLI_PARAM_INT、MYSQLI_PARAM_STR等。
4. 執(zhí)行預(yù)處理語句：使用mysqli_stmt_execute()函數(shù)執(zhí)行預(yù)處理語句。這個(gè)函數(shù)將準(zhǔn)備并綁定參數(shù)后，發(fā)送給數(shù)據(jù)庫服務(wù)器執(zhí)行。
5. 獲取結(jié)果：如果需要獲取查詢結(jié)果，可以使用mysqli_stmt_get_result()函數(shù)獲取結(jié)果集對象，然后使用mysqli_fetch_*()函數(shù)遍歷結(jié)果集。

以下是一個(gè)簡單的示例代碼，展示了如何使用mysqli防范SQL注入：

$mysqli = new mysqli("localhost", "username", "password", "database");

// 檢查連接
if ($mysqli->connect_error) {
    die("連接失敗: " . $mysqli->connect_error);
}

// 創(chuàng)建預(yù)處理語句
$stmt = $mysqli->prepare("INSERT INTO users (username, password) VALUES (?, ?)");

// 綁定參數(shù)
$stmt->bind_param("ss", $username, $password);

// 設(shè)置參數(shù)值
$username = "exampleUser";
$password = "examplePassword";

// 執(zhí)行預(yù)處理語句
if ($stmt->execute()) {
    echo "新記錄插入成功";
} else {
    echo "Error: " . $stmt->error;
}

// 關(guān)閉預(yù)處理語句和數(shù)據(jù)庫連接
$stmt->close();
$mysqli->close();

在這個(gè)示例中，我們創(chuàng)建了一個(gè)預(yù)處理語句來插入用戶名和密碼到users表中。通過使用參數(shù)綁定，我們將用戶輸入的值與SQL語句中的占位符分開，從而避免了SQL注入的風(fēng)險(xiǎn)。