PHP防SQL注入不要再用addslashes和mysql_real_escape_string了

博主热衷各种互联网技术,常啰嗦,时常伴有强迫症，常更新，觉得文章对你有帮助的可以关注我。 转载请注明"深蓝的镰刀"

看了很多PHP网站在防SQL注入上还在使用addslashes和str_replace，百度一下"PHP防注入"也同样在使用他们，实践发现就连mysql_real_escape_string也有黑客可以绕过的办法，如果你的系统仍在用上面三个方法，那么我的这篇博文就有了意义，以提醒所有后来者绕过这个坑。

出于为后人栽树而不是挖坑的考虑，给出PHP以及MYSQL的版本信息，以免将来“问题”不再是“问题”了。

用str_replace以及各种php字符替换函数来防注入已经不用我说了，这种“黑名单”式的防御已经被证明是经不起时间考验的。

立即学习“PHP免费学习笔记（深入）”；

下面给出绕过addslasher和mysql_real_escape_string的方法(Trick)。

注意：虽然在MYSQL5.5.37-log下该Trick已经被修复了，但仍然没有确切地解决注入问题，介于很多公司的系统仍在使用Mysql5.0，我建议立马做出改进，这点也是我《也说说几种让程序员快速提高能力的方法 》中提到的一个十分重要的点。

PHP轻论坛

简介PHP轻论坛是一个简单易用的PHP论坛程序，适合小型社区和个人网站使用。v3.0版本是完全重构的版本，解决了之前版本中的所有已知问题，特别是MySQL保留字冲突问题。主要特点• 简单易用：简洁的界面，易于安装和使用• 响应式设计：适配各种设备，包括手机和平板• 安全可靠：避免使用MySQL保留字，防止SQL注入• 功能完善：支持分类、主题、回复、用户管理等基本功能• 易于扩展：模块化设计，便于

下载

注意：如果你不确定你的系统是否有SQL注入的风险，请将下面的下面的DEMO部署到你的服务器，如果运行结果相同，那么请参考最后的完美的解决方案。

MYSQL:

mysql> select version();
+---------------------+
| version()           |
+---------------------+
| 5.0.45-community-ny |
+---------------------+
1 row in set (0.00 sec)
mysql> create database test default charset GBK;
Query OK, 1 row affected (0.00 sec)
mysql> use test;
Database changed
mysql> CREATE TABLE users (
    username VARCHAR(32) CHARACTER SET GBK,
    password VARCHAR(32) CHARACTER SET GBK,
    PRIMARY KEY (username)
);
Query OK, 0 rows affected (0.02 sec)
mysql> insert into users SET username='ewrfg', password='wer44';
Query OK, 1 row affected (0.01 sec)
mysql> insert into users SET username='ewrfg2', password='wer443';
Query OK, 1 row affected (0.01 sec)
mysql> insert into users SET username='ewrfg4', password='wer4434';
Query OK, 1 row affected (0.01 sec)＝

PHP:

<?php
echo "PHP version: ".PHP_VERSION."\n";

mysql_connect('servername','username','password');
mysql_select_db("test");
mysql_query("SET NAMES GBK");

$_POST['username'] = chr(0xbf).chr(0x27).' OR username = username /*';
$_POST['password'] = 'guess';

$username = addslashes($_POST['username']);
$password = addslashes($_POST['password']);
$sql = "SELECT * FROM  users WHERE  username = '$username' AND password = '$password'";
$result = mysql_query($sql) or trigger_error(mysql_error().$sql);

var_dump(mysql_num_rows($result));
var_dump(mysql_client_encoding());

$username = mysql_real_escape_string($_POST['username']);
$password = mysql_real_escape_string($_POST['password']);
$sql = "SELECT * FROM  users WHERE  username = '$username' AND password = '$password'";
$result = mysql_query($sql) or trigger_error(mysql_error().$sql);

var_dump(mysql_num_rows($result));
var_dump(mysql_client_encoding());

mysql_set_charset("GBK");
$username = mysql_real_escape_string($_POST['username']);
$password = mysql_real_escape_string($_POST['password']);
$sql = "SELECT * FROM  users WHERE  username = '$username' AND password = '$password'";
$result = mysql_query($sql) or trigger_error(mysql_error().$sql);

var_dump(mysql_num_rows($result));
var_dump(mysql_client_encoding());

PHP version: 5.2.5
int(3)
string(6) "latin1"
int(3)
string(6) "latin1"
int(0)
string(3) "gbk" 

$pdo = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');
$stmt->execute(array('name' => $name));

foreach ($stmt as $row) {
    // do something with $row
}

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
$stmt->bind_param('s', $name);

$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // do something with $row
}