PHP+Mysql防止SQL注入的方法

这篇文章介绍的内容是关于PHP+Mysql防止SQL注入的方法，有着一定的参考价值，现在分享给大家，有需要的朋友可以参考一下

我的官方群点击此处。

方法一：[1]

mysql_real_escape_string -- 转义 SQL 语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集 ！

1. $sql = "select count(*) as ctr from users where username
   
2. 
   
3. ='".mysql_real_escape_string($username)."' and
   
4. 
   
5. password='". mysql_real_escape_string($pw)."' limit 1";

复制代码

方法二：

打开magic_quotes_gpc来防止SQL注入。php.ini中有一个设置：magic_quotes_gpc = Off这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，比如把 ' 转为 \'等，对于防止sql注射有重大作用。

如果magic_quotes_gpc=Off，则使用addslashes()函数。

方法三：

自定义函数

1. /**
   
2. 
   
3. * 防止sql注入自定义方法一
   
4. 
   
5. * author: xiaochuan
   
6. 
   
7. * @param: mixed $value 参数值
   
8. 
   
9. */
   
10. 
    
11. function check_param($value=null) {
    
12. 
    
13.         #  select|insert|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile
    
14. 
    
15.     $str = 'select|insert|and|or|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile';
    
16. 
    
17.   
    
18. 
    
19.     if(!$value) {
    
20. 
    
21.   
    
22. 
    
23.         exit('没有参数！');
    
24. 
    
25.   
    
26. 
    
27.     }elseif(eregi($str, $value)) {
    
28. 
    
29.   
    
30. 
    
31.         exit('参数非法！');
    
32. 
    
33.   
    
34. 
    
35.     }
    
36. 
    
37.   
    
38. 
    
39.     return true;
    
40. 
    
41. }
    

复制代码

   

  

  

  

  

  

1. 
   
2.   
   
3. 
   
4. /**
   
5. 
   
6. * 防止sql注入自定义方法二
   
7. 
   
8. * author: xiaochuan
   
9. 
   
10. * @param: mixed $value 参数值
    
11. 
    
12. */
    
13. 
    
14. function str_check( $value ) {
    
15. 
    
16.   
    
17. 
    
18.     if(!get_magic_quotes_gpc()) {
    
19. 
    
20.   
    
21. 
    
22.         // 进行过滤
    
23. 
    
24.         $value = addslashes($value);
    
25. 
    
26.   
    
27. 
    
28.     }
    
29. 
    
30.   
    
31. 
    
32.     $value = str_replace("_", "\_", $value);
    
33. 
    
34.   
    
35. 
    
36.     $value = str_replace("%", "\%", $value);
    
37. 
    
38.       
    
39. 
    
40.    return $value;
    
41. 
    
42. }
    
43. 
    
44.    

复制代码

  

  

  

  

  

1. 
   
2. /**
   
3. 
   
4. * 防止sql注入自定义方法三
   
5. 
   
6. * author: xiaochuan
   
7. 
   
8. * @param: mixed $value 参数值
   
9. 
   
10. */
    
11. 
    
12. function post_check($value) {
    
13. 
    
14.   
    
15. 
    
16.     if(!get_magic_quotes_gpc()) {
    
17. 
    
18.   
    
19. 
    
20.         // 进行过滤  
    
21. 
    
22.         $value = addslashes($value);
    
23. 
    
24.   
    
25. 
    
26.     }
    
27. 
    
28.   
    
29. 
    
30.     $value = str_replace("_", "\_", $value);
    
31. 
    
32.   
    
33. 
    
34.     $value = str_replace("%", "\%", $value);
    
35. 
    
36.   
    
37. 
    
38.     $value = nl2br($value);
    
39. 
    
40.   
    
41. 
    
42.     $value = htmlspecialchars($value);
    
43. 
    
44.   
    
45. 
    
46.     return $value;
    
47. 
    
48. }

复制代码

以上就是PHP+Mysql防止SQL注入的方法的详细内容