インジェクションに対する PHP セキュリティの詳細な紹介_PHP チュートリアル

Web 上でデータを送信するには 2 つの方法があることはわかっています。1 つは get で、もう 1 つは post です。そのため、一般的な SQL インジェクションの多くは get メソッドから始まり、SQL がないため、インジェクション ステートメントにはいくつかの SQL ステートメントが含まれている必要があります。 SQL ステートメントには次の 4 つの主要な文があります。 選択、更新、削除、挿入

では、送信するデータをフィルタリングすれば、これらの問題を回避できるでしょうか?
したがって、正規表現を使用して次の関数を構築します:

私たちの関数では、select、insert、update、delete、union、into、load_file、outfile /*、./、../、' などの危険なパラメーター文字列をすべてフィルターで除外し、送信されたファイルを制御できます。パラメータを使用すると、プログラムは次のように構築できます:

URL を a.php?id=1 として送信すると、プロンプトが表示されます:
「提出されたデータは合法です。続行してください。」
a.php?id=1%27 select * from tb_name
を送信する場合 「送信したデータは違法です。確認して再送信してください。」というプロンプトが表示されます

これで要件は満たされます。

ただし、問題はまだ解決されていません。a.php?id=1asdfasdfasdf を送信すると、上記のルールに準拠していますが、要件を満たしていないため、他の状況を考慮して別のビルドを作成します。チェックする関数:

さて、問題はここで解決されたように見えますが、郵送で送信されたデータ、つまり大量のデータについて考慮したことがありますか?
たとえば、「_」、「%」など、一部の文字はデータベースに悪影響を与える可能性があります。これらの文字は特別な意味を持っているため、これらを制御するとどうなるでしょうか。もう 1 つのポイントは、php.ini で magic_quotes_gpc = off の場合、データベース ルールに準拠していない送信されたデータの前に ' ' が自動的に付加されないことです。この場合、これらの問題を制御する必要があるため、次のように構築します。

OK、サーバーが侵害される危険は再び回避されました。

最後に、投稿や記事やニュースの作成など、大量のデータを送信する状況を考えてみましょう。上記の関数に基づいて、次の関数を構築します。