分享下php登入環節
防止sql注入的方法。
在防止sql注入這些細節出現問題的一般是那些大意的程式設計師或者是新手程式設計師，由於沒有對使用者提交過來的資料進行一些必要的過濾，從而導致了給大家測試的時候一下就攻破了你的資料庫。
介紹乙個使用者登入未進行安全配置可能出現的sql注入方法。
比如，以下登入**：
if($l = @mysql_connect('localhost', 'root', '123')) or die('資料庫連線失敗');
mysql_select_db('test');
mysql_set_charset('utf8');
$sql = 'select * from test where username = "$username" and password = "$password"';
$res = mysql_query($sql);
if(mysql_num_rows($res))else
注意上面的
sql語句，存在很大的安全隱患，如果使用以下萬能密碼和萬能使用者名稱，那麼可以輕鬆進入頁面：
$sql = 'select * from test where username = "***" and password = "***" or 1 = "1"';
很明顯，針對這條sql語句的萬能密碼是: ***" or 1 = "1
$sql = 'select * from test where username ="***" union select * from users/* and password = "***"';
正斜線* 表示後面的不執行，mysql支援union聯合查詢，因此直接查詢出所有資料; 所以針對這條sql語句的萬能使用者名稱是：***" union select * from users/*
但是，此注入只針對**中的sql語句，如果
$sql = "select * from test where username = $username and password = $password";
上面的注入至少已經不管用了，不過方法是一樣的;
在使用pdo之後，sql注入完全可以被避免，（
www.jbxue.com）而且在這個快速開發的時代，框架橫行，已然不用過多考慮sql注入問題了。
下面整理了兩個防止sql註冊函式
/
* 過濾所有get過來變數 */
foreach ($_get as $get_key=>$get_var)
else
}/* 過濾所有post過來的變數 */
foreach ($_post as $post_key=>$post_var)
else www.jbxue.com
}/* 過濾函式 */
//整型過濾函式
function get_int($number)
//字串型過濾函式
function get_str($string)
return $string;
}
另外還有一些部落格會這樣寫
<?php
function post_check($post)
$post = str_replace("_", "＼_", $post); // 把 '_'過濾掉
$post = str_replace("%", "＼%", $post); // 把' % '過濾掉
$post = nl2br($post); // 回車轉換
$post= htmlspecialchars($post); // html標記轉換
return $post;
} ?>
php 防止sql注入
標題起的名字很大其實這裡只說乙個簡單的方法 防止sql注入的方法有很多，這裡要說的其實就是漏洞演練平台dvwa裡的一種方式 直接看high級別的就可以了 id get id id stripslashes id id mysql real escape string id if is numeric...
php防止sql注入
所謂sql注入，是由表單提交時，後台拼接 sql語句造成的。如此，會給系統帶來很大的破壞，甚至導致整個資料庫被清掉，或刪除。因此必須做好防注入操作。關於這個問題，成熟的方案有很多，現在總結如下 一，從根源上解決問題，也就是在接受表單提交時，要特別注意sql拼接處理可能帶來的影響，避免給黑客留下突破口...
PHP防止sql注入
如果沒有防止sql注入，那麼你的 一些重要資訊就會被一些人輕易用特殊的字元登入而盜竊。比如 登入時的查詢語句為 select from 表名 where username 使用者名稱 and password 密碼 當使用者輸入使用者名為 or 1 or 密碼不輸入，此時的查詢語句為 select ...