Question

php中防止SQL注入，该如何解决？

Answer 1

php注入，原则上是因为sql拼接引起的。

通常避免sql注入的原则是：

1. 类型校验，比如int类型的字段进行强制转换intval。

2. 避免字符型的sql拼接，使用unhex绕过sql解析截断的字符处理。

举个例子：

select * from pass where username = '$a';

这种情况,当$a="1' or 1 = 1 or '2' = '2"情况时，真个sql变成了

select * from pass where username = '1' or 1 = 1 or '2' = '2' ;

那么这个sql就会改变sql原有语义。

类型校验大家都会，这里就不进行说明了，下面说明下使用unhex来进行字符型字段转码，绕过sql语义解析截断避免sql注入。

使用unhex(bin2hex)后，原有逻辑变成

$a = bin2hex($a);

select * from pass where username = unhex('$a') ;

由于bin2hex，$a转化成16进制数避免了sql注入的风险。

sql执行阶段，优先执行sql语义解析，而后进行unhex('$a') 的运算，所以会把"1' or 1 = 1 or '2' = '2"整个字符串当做一个字段执行，而不会进行解析，避免了sql注入问题~