如何理解php防注入及開發(fā)安全的原理

本篇內(nèi)容介紹了“如何理解php防注入及開發(fā)安全的原理”的有關(guān)知識(shí)，在實(shí)際案例的操作過程中，不少人都會(huì)遇到這樣的困境，接下來就讓小編帶領(lǐng)大家學(xué)習(xí)一下如何處理這些情況吧！希望大家仔細(xì)閱讀，能夠?qū)W有所成！

1、PHP注入的基本原理
程序員的水平及經(jīng)驗(yàn)也參差不齊，相當(dāng)大一部分程序員在編寫代碼的時(shí)候，沒有對 用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，使應(yīng)用程序存在安全隱患。用戶可以提交一段數(shù)據(jù) 庫查詢代碼，根據(jù)程序返回的結(jié)果，獲得某些他想得知的數(shù)據(jù)，這就是所謂的 SQL Injection，即SQL注入。 受影響的系統(tǒng)：對輸入的參數(shù)不進(jìn)行檢查和過濾的系統(tǒng).

SQL注入過程
正常來講，我們通過地址接收一些必要的參數(shù)如：
頁面中我們會(huì)使用 2 寫入到SQL語句中
正常情況：Select * From Table where id=2

PHP100.php?id=2
如果我們對SQL語句熟悉，就知道2 我們可以替換成我們需要的SQL語句
如：and exists (select id from admin)

2、防止注入的幾種辦法
其實(shí)原來就是我們需要過濾一些我們常見的關(guān)鍵字和符合如：
Select，insert，update，delete，and，*，等等
例子:

復(fù)制代碼 代碼如下:

function inject_check($sql_str) {
return preg_match('/select|insert|update|delete|/'|///*|/*|/././/|/.//|union|into|load_file|outfile/i', $sql_str);      // 進(jìn)行過濾
}

或者是通過系統(tǒng)函數(shù)間的過濾特殊符號
Addslashes（需要被過濾的內(nèi)容）

3、PHP其他地方安全設(shè)置
register_globals = Off 設(shè)置為關(guān)閉狀態(tài)
SQL語句書寫時(shí)盡量不要省略小引號和單引號

復(fù)制代碼 代碼如下:

Select * From Table Where id=2 (不規(guī)范)
Select * From ·Table· Where ·id·='2' (規(guī)范)

提高數(shù)據(jù)庫命名技巧，對于一些重要的字段可根據(jù)程序特點(diǎn)命名
對于常用方法加以封裝，避免直接暴露SQL語句

正確的使用 $_POST $_GET $_SESSION 等接受參數(shù)，并加以過濾

“如何理解php防注入及開發(fā)安全的原理”的內(nèi)容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業(yè)相關(guān)的知識(shí)可以關(guān)注億速云網(wǎng)站，小編將為大家輸出更多高質(zhì)量的實(shí)用文章！