SQLインジェクションは、攻撃者が悪意のあるSQLコードを入力フィールドに注入し、不正アクセスまたはデータ盜難につながるセキュリティの脆弱性です。これは、ユーザー入力が検証や消毒なしにSQLクエリに直接連結(jié)されている場合に発生します。 MySQLを使用したPHPでのSQL注入を防ぐには：1）PDOまたはMySQLIを使用して準備されたステートメントを使用して、SQLロジックをデータから分離します。 2）電子メールのチェックやキャスト番號など、すべての入力を検証および消毒する。 3）非推奨MySQL_*機能を避け、PDOやMySQLIなどの最新の代替品を使用します。 4）損傷の可能性を制限するために適切なデータベース権限を設(shè)定します。

SQLインジェクションは、攻撃者がログインフォームや検索ボックスなどの悪意のあるSQLコードを入力フィールドに注入し、データベースによって実行されるセキュリティの脆弱性の一種です。これにより、不正アクセス、データの盜難、またはデータベース全體の削除につながる可能性があります。

PHPおよびMySQLのセットアップでは、これは、適切な検証や消毒なしにユーザー入力がSQLクエリに直接連結(jié)されたときにしばしば起こります。

SQLインジェクション攻撃はどのように見えますか？

このようなPHPで簡単なログインクエリがあるとしましょう。

 $ query = "select * from users where username = '"。 $ _POST ['USERNAME']。 "'and password ='"。 $ _POST ['password']。 "'";

攻撃者は、ユーザー名フィールドに' OR '1'='1のようなものを入力できます。結(jié)果のクエリは次のとおりです。

 select * fromユーザーはusername = ''または '1' = '1'およびpassword = ''

'1'='1'は常に真実であるため、これにより攻撃者は認証を完全にバイパスできる可能性があります。

これは、基本的な例の1つにすぎません。実際の攻撃は、はるかに洗練され、損害を與える可能性があります。

MySQLを使用したPHPでのSQL注入を防ぐ方法

準備されたステートメント（パラメーター化されたクエリ）を使用する

SQL注入を防ぐ最も効果的な方法は、 PDOまたはMySQLIのいずれかを使用して準備されたステートメントを使用することです。これらのSQLロジックはデータから個別のロジックであるため、ユーザーの入力は実行可能コードとして扱われることはありません。

PDOでの見た目は次のとおりです。

 $ stmt = $ pdo-> prepare（ "select * fromユーザーがusername =？and password =？"）;
$ stmt-> execute（[$ _ post ['username']、$ _post ['password']]）;
$ user = $ stmt-> fetch（）;

そしてmysqliと：

 $ stmt = $ mysqli-> prepare（ "select * from users where username =？and password =？"）;
$ stmt-> bind_param（ "ss"、$ _post ['username']、$ _post ['password']）;
$ stmt-> execute（）;
$ result = $ stmt-> get_result（）;

これらの方法により、入力は、実行可能なSQLではなく、データとして厳密に扱われることが保証されます。

すべての入力を検証して消毒します

準備された聲明を使用しても、入力を検証および消毒することは依然として良い習慣です。

• メールアドレスが予想される場合は、 filter_var($email, FILTER_VALIDATE_EMAIL)で確認してください
• 數(shù)字を期待する場合は、cast： (int)$inputまたはis_numeric()を使用します
• 文字列の場合は、白面のトリミングまたは制限長を検討してください

サニタイズは、悪いデータを早期にキャッチし、別の防御層を追加するのに役立ちます。

mysql_*のような非推奨機能に頼らないでください

古いmysql_query()関數(shù)をまだ使用している場合は、今すぐ停止してください。準備された聲明をサポートせず、設(shè)計により脆弱です。 PHPは、バージョン7.0から完全に削除しました。代わりにPDOまたはmysqliを使用します。

適切なデータベース権限を設(shè)定します

アプリケーションデータベースユーザーに必要以上の特権を提供しないでください。たとえば、アプリが特定のテーブルに読み書きを読み書きするだけである場合は、ドロップまたは削除を許可しないでください。

これにより、攻撃者が何かを注入できたとしても、攻撃者ができる損害が制限されます。

ええ、SQL注入は深刻ですが、予防可能です。準備されたステートメントに固執(zhí)し、すべての入力を注意して扱い、コードを更新します?；镜膜?、これがこの種の脅威からPHPおよびMySQLアプリを保護する方法です。

以上がSQL注入とは何ですか、PHP MySQLでそれを防ぐ方法の詳細內(nèi)容です。詳細については、PHP 中國語 Web サイトの他の関連記事を參照してください。