PHP 개발 팁: SQL 삽입 공격을 방지하는 방법-PHP 튜토리얼-php.cn

PHP 개발 팁: SQL 삽입 공격을 방지하는 방법

PHPz

풀어 주다： 2023-09-20 13:58:01

원래의

1072명이 탐색했습니다.

PHP 개발 팁: SQL 삽입 공격을 방지하는 방법

PHP 개발 팁: SQL 주입 공격을 방지하는 방법

개요:
인터넷이 발전하면서 웹 애플리케이션의 보안 문제가 점점 더 많은 관심을 끌고 있습니다. 그 중 SQL 주입 공격은 일반적인 네트워크 보안 위협입니다. 필터링되지 않은 사용자 입력을 사용하여 SQL 쿼리 문의 구조를 수정하여 잘못된 데이터베이스 정보를 얻거나 데이터베이스의 데이터를 수정합니다. PHP 개발에서는 SQL 주입 공격을 효과적으로 방지하기 위해 몇 가지 조치를 취할 수 있습니다.

매개변수화된 쿼리 사용
사용자 입력을 SQL 쿼리문에 직접 연결하면 SQL 삽입 위험이 있습니다. 이러한 위험을 피하기 위해 매개변수화된 쿼리(준비된 문)를 사용할 수 있습니다. 이 쿼리 메서드는 SQL 쿼리를 매개 변수와 분리합니다.
```
$query = $connection->prepare("SELECT * FROM users WHERE username = :username");
$query->bindParam(':username', $username);
$query->execute();
```
로그인 후 복사
위 코드에서 :username은 자리 표시자이며, 실제 매개 변수를 자리 표시자에 바인딩하기 위해 binParam() 메서드를 사용합니다. 이렇게 하면 사용자가 입력한 데이터가 SQL 쿼리의 일부로 사용되지 않으므로 SQL 주입 공격을 효과적으로 방지할 수 있습니다.
입력 필터링 및 검증
매개변수화된 쿼리를 사용하는 것 외에도 사용자 입력을 필터링하고 검증해야 합니다. 필터링은 사용자 입력에서 안전하지 않은 문자를 제거하거나 바꾸는 것을 의미하며 유효성 검사는 사용자 입력의 유효성을 확인하는 것을 의미합니다.

PHP에서는 filter_var() 또는 filter_input()과 같은 필터 함수를 사용하여 사용자 입력을 필터링할 수 있습니다. 다음은 사용자 입력 필터링의 예입니다.

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);

로그인 후 복사

위 코드에서 filter_input() 함수는 입력 유형(INPUT_GET, INPUT_POST 등일 수 있음), 입력 이름 및 필터 유형의 세 가지 매개변수를 허용합니다. FILTER_SANITIZE_STRING은 사용자 입력에서 HTML 태그를 제거하고 특수 문자를 이스케이프하는 필터 유형입니다.

필터링 후에는 입력이 예상과 일치하는지 확인하기 위해 사용자 입력을 검증해야 합니다. 예를 들어 사용자 이름 필드의 경우 정규식을 사용하여 사용자 이름이 올바른 형식인지 확인할 수 있습니다.

if (!preg_match('/^[a-zA-Z0-9_]{5,20}$/', $username)) {
    echo "Invalid username format!";
}

로그인 후 복사

위 코드는 preg_match() 함수와 정규식을 사용하여 사용자 이름 형식을 확인합니다. 기대에 미치지 못하는 경우 오류 메시지를 반환하거나 다른 적절한 조치를 취할 수 있습니다.

안전한 데이터베이스 작업 기능을 사용하세요
데이터베이스 작업을 수행할 때 mysqli_real_escape_string()이나 PDO의 prepare() 함수와 같은 안전한 데이터베이스 작업 기능을 사용해야 합니다. 이러한 함수는 사용자 입력에서 특수 문자를 자동으로 이스케이프하여 SQL 주입 공격을 방지합니다.

다음은 mysqli_real_escape_string() 함수를 사용한 예입니다.

$username = mysqli_real_escape_string($conn, $username);
$query = "SELECT * FROM users WHERE username = '$username'";
$result = mysqli_query($conn, $query);

로그인 후 복사

위 코드에서는 먼저 mysqli_real_escape_string() 함수를 사용하여 사용자 이름을 이스케이프한 다음 이스케이프된 사용자 이름을 SQL 쿼리 문에 입력합니다. 가운데.

요약:
SQL 주입은 일반적인 네트워크 보안 위협입니다. PHP 개발에서는 이러한 보안 위협을 방지하기 위해 몇 가지 조치를 취할 수 있습니다. 첫째, 매개변수화된 쿼리를 사용하면 사용자 입력에서 SQL 쿼리를 분리할 수 있으므로 SQL 삽입 공격을 효과적으로 방지할 수 있습니다. 또한 사용자 입력을 필터링하고 유효성을 검사하는 것도 매우 중요합니다. 필터 기능과 정규식을 사용하여 사용자 입력이 기대치를 충족하는지 확인할 수 있습니다. 마지막으로 mysqli_real_escape_string() 또는 PDO의 prepare() 함수와 같은 안전한 데이터베이스 작업 함수를 사용하여 SQL 주입 공격을 방지합니다.

위 조치를 통해 웹 애플리케이션의 보안을 강화하고 SQL 주입 공격을 효과적으로 방지할 수 있습니다. 개발 과정에서 우리는 항상 보안 문제에 주의를 기울여야 하며 사용자 데이터의 보안을 보호하기 위해 적절한 조치를 취해야 합니다.

위 내용은 PHP 개발 팁: SQL 삽입 공격을 방지하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!