在Web开发中，SQL注入是一种常见且危险的安全漏洞。攻击者可以通过构造恶意的SQL语句，绕过应用程序的身份验证和授权机制，从而获取、修改或删除数据库中的敏感信息。PHP作为一种广泛使用的服务器端脚本语言，在防止SQL注入方面有许多经典的代码案例。本文将对这些通用的PHP防注入代码案例进行深度剖析。
一、SQL注入的原理及危害
SQL注入的原理是攻击者通过在应用程序的输入字段中添加恶意的SQL代码，当应用程序将这些输入直接拼接到SQL查询语句中时，恶意代码就会被执行。例如，一个简单的登录表单，其SQL查询语句可能如下：
$sql = "SELECT * FROM users WHERE username = '".$username."' AND password = '".$password."'";
如果攻击者在用户名输入框中输入 ' OR '1'='1，密码随意输入，那么最终的SQL查询语句就会变成：
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '随意输入的密码'
由于 '1'='1' 始终为真，所以这个查询会返回所有用户记录，攻击者就可以绕过登录验证。SQL注入的危害极大，它可能导致数据库中的敏感信息泄露，如用户的账号密码、个人信息等；还可能会导致数据被篡改或删除，影响系统的正常运行。
二、经典防注入方法及代码案例（一）使用mysqli预处理语句
mysqli是PHP中用于操作MySQL数据库的扩展，预处理语句可以有效防止SQL注入。以下是一个使用mysqli预处理语句进行用户登录验证的代码案例：
<?php
// 数据库连接信息
$servername = "localhost";
$username = "root";
$password = "password";
$dbname = "testdb";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接
if ($conn->connect_error) {
die("连接失败: ". $conn->connect_error);
}
// 获取用户输入
$input_username = $_POST['username'];
$input_password = $_POST['password'];
// 预处理语句
$stmt = $conn->prepare("SELECT * FROM users WHERE username =? AND password =?");
$stmt->bind_param("ss", $input_username, $input_password);
// 执行查询
$stmt->execute();
$result = $stmt->get_result();
if ($result->num_rows > 0) {
echo "登录成功";
} else {
echo "用户名或密码错误";
}
// 关闭连接
$stmt->close();
$conn->close();
?>在上述代码中，使用了 prepare() 方法创建了一个预处理语句，其中 ? 是占位符。然后使用 bind_param() 方法将用户输入的值绑定到占位符上。这样，用户输入的值会被当作普通的字符串处理，而不会被解析为SQL代码，从而有效防止了SQL注入。
（二）使用PDO预处理语句
PDO（PHP Data Objects）是PHP中一个统一的数据库访问接口，它也提供了预处理语句来防止SQL注入。以下是一个使用PDO预处理语句进行数据添加的代码案例：
<?php
try {
// 数据库连接信息
$dsn = "mysql:host=localhost;dbname=testdb";
$username = "root";
$password = "password";
// 创建PDO对象
$pdo = new PDO($dsn, $username, $password);
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// 获取用户输入
$name = $_POST['name'];
$email = $_POST['email'];
// 预处理语句
$sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
$stmt = $pdo->prepare($sql);
// 绑定参数
$stmt->bindParam(':name', $name, PDO::PARAM_STR);
$stmt->bindParam(':email', $email, PDO::PARAM_STR);
// 执行添加操作
$stmt->execute();
echo "数据添加成功";
} catch(PDOException $e) {
echo "错误: ". $e->getMessage();
}
?>在这个代码中，使用了命名占位符 :name 和 :email，并通过 bindParam() 方法将用户输入的值绑定到占位符上。PDO会自动处理输入值的转义和类型检查，确保输入值不会被当作SQL代码执行。
（三）输入过滤和转义
除了使用预处理语句，还可以对用户输入进行过滤和转义。PHP提供了一些函数来实现这一目的，如 htmlspecialchars() 和 mysqli_real_escape_string()。以下是一个简单的示例：
<?php
// 数据库连接信息
$servername = "localhost";
$username = "root";
$password = "password";
$dbname = "testdb";
// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);
// 检查连接
if ($conn->connect_error) {
die("连接失败: ". $conn->connect_error);
}
// 获取用户输入并进行转义
$input_username = mysqli_real_escape_string($conn, $_POST['username']);
$input_password = mysqli_real_escape_string($conn, $_POST['password']);
// 拼接SQL查询语句
$sql = "SELECT * FROM users WHERE username = '".$input_username."' AND password = '".$input_password."'";
$result = $conn->query($sql);
if ($result->num_rows > 0) {
echo "登录成功";
} else {
echo "用户名或密码错误";
}
// 关闭连接
$conn->close();
?>mysqli_real_escape_string() 函数会对用户输入中的特殊字符进行转义，如单引号、双引号等，从而防止恶意的SQL代码被注入。但是需要注意的是，这种方法不如预处理语句安全，因为它依赖于数据库的转义规则，而且对于复杂的注入攻击可能无法完全防范。
三、各种防注入方法的优缺点比较（一）mysqli预处理语句
优点：专门针对MySQL数据库，性能较好，对于需要频繁执行的查询语句，可以提高执行效率。它能够有效防止SQL注入，并且使用相对简单。缺点：只能用于MySQL数据库，不具有跨数据库的兼容性。
（二）PDO预处理语句
优点：具有良好的跨数据库兼容性，可以支持多种数据库，如MySQL、SQLite、Oracle等。同样能够有效防止SQL注入，并且提供了统一的接口，方便开发者进行数据库操作。缺点：相对于mysqli，性能可能会稍低一些，尤其是在处理大量数据时。
（三）输入过滤和转义
优点：实现简单，对于一些简单的应用场景可以起到一定的防注入作用。缺点：安全性相对较低，依赖于数据库的转义规则，对于复杂的注入攻击可能无法完全防范。而且在某些情况下，可能会导致数据的丢失或格式错误。
四、总结
在防止SQL注入方面，使用预处理语句是最安全和推荐的方法。无论是mysqli预处理语句还是PDO预处理语句，都能够有效防止SQL注入，并且提供了较好的性能和兼容性。输入过滤和转义可以作为一种辅助手段，但不能完全依赖它来防止SQL注入。开发者在编写PHP代码时，应该始终牢记安全原则，对用户输入进行严格的验证和过滤，以确保应用程序的安全性。
通过对这些经典防注入代码案例的深度剖析，我们可以更好地理解和掌握防止SQL注入的方法，从而在实际开发中避免SQL注入漏洞的出现，保护用户的敏感信息和系统的安全稳定运行。
