SQL ievadīšanas novēršana PHP: labākās prakses un metodes

Jūsu PHP lietojumprogrammu aizsardzība pret SQL injekciju

SQL injekcija ir nopietna drošības ievainojamība, kas rodas, ja lietotāja ievade tiek tieši ievietota SQL vaicājumos bez atbilstošas ​​sanitārijas. Tas var izraisīt nesankcionētu piekļuvi, datu manipulācijas vai pat pilnīgu datu zudumu, tāpēc izstrādātājiem ir ļoti svarīgi saprast un mazināt šos riskus.

Šajā rakstā mēs izpētīsim izplatītākos SQL injekcijas uzbrukumus, piemēram, kad lietojumprogramma izmanto neattīrītu lietotāja ievadi vaicājumā, piemēram, `mysql_query("INSERT INTO tabulas (kolonnas) VALUES ('$unsafe_variable')");`. Pēc tam mēs apspriedīsim efektīvas stratēģijas, lai novērstu SQL ievadīšanu un aizsargātu jūsu PHP lietojumprogrammas.

PHP lietojumprogrammu aizsardzība no SQL injekcijas

Nodrošinātie skripti ir paredzēti, lai novērstu SQL injekcijas uzbrukumus PHP lietojumprogrammās, izmantojot drošas kodēšanas metodes. Pirmais skripts izmanto $mysqli->prepare() funkcija, lai sagatavotu SQL priekšrakstu, kas nodrošina, ka lietotāja ievade tiek uzskatīta par parametru, nevis kā paša SQL vaicājuma daļa. Šī pieeja novērš ļaunprātīga SQL koda izpildes risku. Izmantojot $stmt->bind_param(), skripts saista lietotāja ievadi ar sagatavoto paziņojumu, norādot parametra veidu. Šis solis vēl vairāk nodrošina, ka ievade tiek droši apstrādāta. Paziņojuma izpilde tiek veikta ar $stmt->execute(), un paziņojums tiek slēgts ar $stmt->close() lai atbrīvotu resursus. Visbeidzot, datu bāzes savienojums tiek aizvērts, izmantojot $mysqli->close().

Otrais skripts parāda, kā izvairīties no lietotāja ievades, izmantojot $mysqli->real_escape_string(). Šī metode ievadē neizmanto speciālās rakstzīmes, padarot to droši lietojamu SQL vaicājumā. Lai gan šī pieeja ir labāka par tiešu lietotāja ievades ievietošanu vaicājumā, tā parasti tiek uzskatīta par mazāk drošu nekā sagatavoti paziņojumi. Trešais skripts izmanto PDO (PHP datu objektus), lai sagatavotu un izpildītu SQL paziņojumus. Izmantojot $pdo->prepare() un $stmt->bindParam(), skripts nodrošina, ka lietotāja ievade ir droši saistīta ar SQL vaicājumu. Šī metode ir ļoti ieteicama tās elastības un drošības dēļ. Savienojums tiek slēgts, iestatot $pdo = null, kas nodrošina visu resursu pareizu atbrīvošanu. Šie skripti kopā nodrošina stabilus risinājumus, lai mazinātu SQL injekcijas riskus PHP lietojumprogrammās.

<?php
// Create a new MySQLi connection
$mysqli = new mysqli("localhost", "user", "password", "database");

// Check connection
if ($mysqli->connect_error) {
    die("Connection failed: " . $mysqli->connect_error);
}

// Prepare an SQL statement
$stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");

// Bind parameters
$stmt->bind_param("s", $user_input);

// Set the user input
$user_input = $_POST['user_input'];

// Execute the statement
$stmt->execute();

// Close the statement and connection
$stmt->close();
$mysqli->close();
?>

<?php
// Create a new MySQLi connection
$mysqli = new mysqli("localhost", "user", "password", "database");

// Check connection
if ($mysqli->connect_error) {
    die("Connection failed: " . $mysqli->connect_error);
}

// Escape the user input
$unsafe_variable = $_POST['user_input'];
$safe_variable = $mysqli->real_escape_string($unsafe_variable);

// Create the SQL query
$sql = "INSERT INTO `table` (`column`) VALUES ('$safe_variable')";

// Execute the query
if ($mysqli->query($sql) === TRUE) {
    echo "New record created successfully";
} else {
    echo "Error: " . $sql . "<br>" . $mysqli->error;
}

// Close the connection
$mysqli->close();
?>

<?php
// Create a new PDO connection
$pdo = new PDO('mysql:host=localhost;dbname=database', 'user', 'password');

// Prepare an SQL statement
$stmt = $pdo->prepare("INSERT INTO table (column) VALUES (:user_input)");

// Bind parameters
$stmt->bindParam(':user_input', $user_input);

// Set the user input
$user_input = $_POST['user_input'];

// Execute the statement
$stmt->execute();

// Close the connection
$pdo = null;
?>

Uzlabotas metodes SQL injekcijas novēršanai PHP

Papildus tādiem pamatpasākumiem kā sagatavoti paziņojumi un izvairīšanās no ievades, vēl viena būtiska pieeja SQL injekcijas novēršanai ir saglabāto procedūru izmantošana. Saglabātās procedūras ir SQL kods, ko var saglabāt un izmantot atkārtoti. Tie ļauj iekapsulēt vaicājumu loģiku pašā datu bāzē, tādējādi pievienojot papildu drošības līmeni. Izsaucot šīs procedūras no sava PHP koda, jūs samazinat tiešu mijiedarbību ar SQL priekšrakstiem, tādējādi samazinot injekcijas risku. Turklāt saglabāto procedūru izmantošana var uzlabot veiktspēju, samazinot SQL priekšrakstu parsēšanas laiku.

Vēl viens aspekts, kas jāņem vērā, ir objektu relāciju kartēšanas (ORM) ietvaru, piemēram, Doctrine vai Eloquent, izmantošana. ORM abstrahē datu bāzes darbības uz augstāka līmeņa API, automātiski apstrādājot SQL priekšrakstu izveidi un izpildi. Šis abstrakcijas slānis ievērojami samazina SQL injekcijas iespēju, jo izstrādātāji mijiedarbojas ar objektiem, nevis ar neapstrādātiem SQL vaicājumiem. Turklāt programmatūras atjaunināšana ir ļoti svarīga. Regulāra datu bāzes pārvaldības sistēmas, PHP versijas un bibliotēku atjaunināšana nodrošina aizsardzību pret zināmām ievainojamībām. Visaptverošu ievades validācijas un dezinfekcijas rutīnu ieviešana klienta un servera pusē vēl vairāk nostiprina jūsu lietojumprogrammu pret iespējamiem SQL injekcijas uzbrukumiem.

Pēdējās domas par PHP lietojumprogrammu nodrošināšanu pret SQL injekciju

Visbeidzot, lai novērstu SQL ievadīšanu PHP, ir nepieciešama daudzpusīga pieeja. Sagatavotu paziņojumu un parametrizētu vaicājumu izmantošana ir visefektīvākā metode. Turklāt tādu metožu izmantošana kā ievades validācija, ORM izmantošana un atjauninātu programmatūras versiju uzturēšana vēl vairāk palielina drošību. Integrējot šīs metodes, izstrādātāji var aizsargāt savas lietojumprogrammas un aizsargāt sensitīvos datus no ļaunprātīgiem uzbrukumiem.