PHP 開発のヒント: SQL インジェクション攻撃を防ぐ方法-PHPチュートリアル-php.cn

PHP 開発のヒント: SQL インジェクション攻撃を防ぐ方法

PHPz

リリース： 2023-09-20 13:58:01

オリジナル

1072 人が閲覧しました

PHP 開発のヒント: SQL インジェクション攻撃を防ぐ方法

概要:
インターネットの発展に伴い、Web アプリケーションのセキュリティ問題がさらに注目されるようになりました。さらに注意してください。その中でも、SQL インジェクション攻撃は一般的なネットワークセキュリティの脅威です。フィルタされていないユーザー入力を使用して SQL クエリステートメントの構造を変更し、不正なデータベース情報を取得したり、データベース内のデータを変更したりします。 PHP 開発では、SQL インジェクション攻撃を効果的に防ぐためにいくつかの対策を講じることができます。

パラメータ化されたクエリの使用
ユーザー入力を SQL クエリステートメントに直接結合すると、SQL インジェクションの危険性があります。このリスクを回避するには、パラメータ化されたクエリ (準備されたステートメント) を使用できます。このクエリメソッドは、SQL クエリをパラメータから分離します。具体的な例は次のとおりです:
```
$query = $connection->prepare("SELECT * FROM users WHERE username = :username");
$query->bindParam(':username', $username);
$query->execute();
```
ログイン後にコピー
上記のコードでは、:username はプレースホルダであり、次に、bindParam() メソッドを使用して実際のパラメータをバインドしますをプレースホルダーに追加します。これにより、ユーザーが入力したデータが SQL クエリの一部として使用されなくなり、SQL インジェクション攻撃を効果的に防止できます。
入力のフィルタリングと検証
パラメータ化されたクエリの使用に加えて、ユーザー入力のフィルタリングと検証も行う必要があります。フィルタリングはユーザー入力内の安全でない文字を削除または置換することを指し、検証はユーザー入力の有効性をチェックすることを指します。

PHP では、filter_var() や filter_input() などのフィルター関数を使用してユーザー入力をフィルターできます。以下は、ユーザー入力のフィルタリングの例です。

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);

ログイン後にコピー

上記のコードでは、filter_input() 関数は、入力タイプ (INPUT_GET、INPUT_POST など)、入力名、フィルタータイプの 3 つのパラメーターを受け入れます。。 FILTER_SANITIZE_STRING は、ユーザー入力から HTML タグを削除し、特殊文字をエスケープするフィルタータイプです。

フィルタリング後、ユーザー入力を検証して、入力が期待を満たしていることを確認する必要もあります。たとえば、ユーザー名フィールドの場合、正規表現を使用してユーザー名が正しい形式であることを確認できます。

if (!preg_match('/^[a-zA-Z0-9_]{5,20}$/', $username)) {
    echo "Invalid username format!";
}

ログイン後にコピー

上記のコードでは、preg_match() 関数と正規表現を使用してユーザー名の形式を確認します。期待を満たさない場合は、エラーメッセージを返すか、他の適切なアクションを実行できます。

安全なデータベース操作関数を使用する
データベース操作を実行するときは、mysqli_real_escape_string() や PDO の prepare() 関数などの安全なデータベース操作関数を使用する必要があります。これらの関数はユーザー入力内の特殊文字を自動的にエスケープするため、SQL インジェクション攻撃を防ぎます。

次に、mysqli_real_escape_string() 関数の使用例を示します。

$username = mysqli_real_escape_string($conn, $username);
$query = "SELECT * FROM users WHERE username = '$username'";
$result = mysqli_query($conn, $query);

ログイン後にコピー

上記のコードでは、まず mysqli_real_escape_string() 関数を使用してユーザー名をエスケープし、次に定義後のユーザー名が SQL クエリステートメントに組み込まれます。

概要:
SQL インジェクションは一般的なネットワークセキュリティの脅威です。PHP 開発では、このセキュリティの脅威を防ぐためにいくつかの対策を講じることができます。まず、パラメーター化されたクエリを使用すると、SQL クエリをユーザー入力から分離できるため、SQL インジェクション攻撃を効果的に防ぐことができます。さらに、ユーザー入力のフィルターと検証も非常に重要です。フィルター関数と正規表現を使用して、ユーザー入力が期待どおりであることを確認できます。最後に、mysqli_real_escape_string() や PDO の prepare() 関数などの安全なデータベース操作関数を使用して、SQL インジェクション攻撃を防ぎます。

上記の対策により、Web アプリケーションのセキュリティを向上させ、SQL インジェクション攻撃を効果的に防ぐことができます。開発プロセス中、私たちは常にセキュリティ問題に注意を払い、ユーザーデータのセキュリティを保護するために適切な措置を講じる必要があります。

以上がPHP 開発のヒント: SQL インジェクション攻撃を防ぐ方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。