php addslashes及其他清除空格的方法是不安全的
Jun 13, 2016 pm 12:02 PM
清除空格的方法是不安全的,部分原因是因為字符中的空格非常多,例如 "addslashes的問題在 于黑客 可以用0xbf27來代替單引號，而addslashes只是將0xbf27修改為0xbf5c27，成為一個有效的多字節(jié)字符，其中的0xbf5c仍會 被看作是單引號，所以addslashes無法成功攔截。"
最好是按照具體的參數(shù)需求校驗確定是 int 等不是,外加數(shù)據(jù)庫的參數(shù)操作方法.其實這個是數(shù)據(jù)庫的 sql 問題,應(yīng)該從源頭數(shù)據(jù)庫本身來解決,只不過有些數(shù)據(jù)庫滑提供相應(yīng)的方法罷了.
SQL注入攻擊是黑客攻擊網(wǎng)站最常用的手段。如果你的站點沒有使用嚴(yán)格的用戶輸入檢驗，那么常容易遭到SQL注入攻擊。SQL注入攻擊通常通過給站點數(shù)據(jù)庫提交不良的數(shù)據(jù)或查詢語句來實現(xiàn)，很可能使數(shù)據(jù)庫中的紀(jì)錄遭到暴露，更改或被刪除。
為了防止SQL注入攻擊，PHP自帶一個功能可以對輸入的字符串進(jìn)行處理，可以在較底層對輸入進(jìn)行安全上的初步處理，也即Magic Quotes。(php.ini magic_quotes_gpc)。如果magic_quotes_gpc選項啟用，那么輸入的字符串中的單引號，雙引號和其它一些字符前將會被自動加 上反斜杠\。
但Magic Quotes并不是一個很通用的解決方案，沒能屏蔽所有有潛在危險的字符，并且在許多服務(wù)器上Magic Quotes并沒有被啟用。所以，我們還需要使用其它多種方法來防止SQL注入。
許 多數(shù)據(jù)庫本身就提供這種輸入數(shù)據(jù)處理功能。例如PHP的MySQL操作函數(shù)中有addslashes()、 mysql_real_escape_string()、mysql_escape_string()等函數(shù)，可將特殊字符和可能引起數(shù)據(jù)庫操作出錯的字 符轉(zhuǎn)義。那么這三個功能函數(shù)之間有什么卻別呢？下面我們就來詳細(xì)講述下。
雖然國內(nèi)很多PHP程序員仍在依靠addslashes防止SQL注入，還是建議大家加強(qiáng)中文防止SQL注入的檢查。addslashes的問題在 于黑客 可以用0xbf27來代替單引號，而addslashes只是將0xbf27修改為0xbf5c27，成為一個有效的多字節(jié)字符，其中的0xbf5c仍會 被看作是單引號，所以addslashes無法成功攔截。
當(dāng)然addslashes也不是毫無用處，它是用于單字節(jié)字符串的處理，多字節(jié)字符還是用mysql_real_escape_string吧。
另外對于php手冊中g(shù)et_magic_quotes_gpc的舉例：
if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST[‘lastname']);
} else {
$lastname = $_POST[‘lastname'];
}
最好對magic_quotes_gpc已經(jīng)開放的情況下，還是對$_POST['lastname']進(jìn)行檢查一下。
再說下mysql_real_escape_string和mysql_escape_string這2個函數(shù)的區(qū)別：
mysql_real_escape_string 必須在(PHP 4 >= 4.3.0, PHP 5)的情況下才能使用。否則只能用 mysql_escape_string ，兩者的區(qū)別是：mysql_real_escape_string 考慮到連接的當(dāng)前字符集，而mysql_escape_string 不考慮。
總結(jié)一下：
* addslashes() 是強(qiáng)行加\；
* mysql_real_escape_string() 會判斷字符集，但是對PHP版本有要求；
* mysql_escape_string不考慮連接的當(dāng)前字符集。
dz中的防止sql注入就是用addslashes這個函數(shù)，同時在dthmlspecialchars這個函數(shù)中有進(jìn)行一些替換$string = preg_replace('/&((#(\d{3,5}|x[a-fA-F0-9]{4}));)/', '&\\1',這個替換解決了注入的問題，同時也解決了中文亂碼的一些問題
? AI ??
Undress AI Tool
??? ???? ??
Undresser.AI Undress
???? ?? ??? ??? ?? AI ?? ?
AI Clothes Remover
???? ?? ???? ??? AI ?????.
Clothoff.io
AI ? ???
Video Face Swap
??? ??? AI ?? ?? ??? ???? ?? ???? ??? ?? ????!
?? ??
??? ??
???++7.3.1
???? ?? ?? ?? ???
SublimeText3 ??? ??
??? ??, ???? ?? ????.
???? 13.0.1 ???
??? PHP ?? ?? ??
???? CS6
??? ? ?? ??
SublimeText3 Mac ??
? ??? ?? ?? ?????(SublimeText3)
??? ??
8639
17
1785
16
1729
56
1581
29
1445
31
??? ??? ?? ?? : PHP ???
Jul 15, 2025 am 02:48 AM
phphasthreecommentstyles : //, #forsingle-lineand/.../formulti-lline.usecommentstoexplainwhycodeexists, notwhatitdoes.marktodo/fixMeitemsandDisableCodeTemporlinlyDuingDeBugging.aVoidOver-commentingsimplOgic.writeCoCoCoCoCoConcomeCOCOCOCONCOCOCOCOCOCOCOCOCISE
Windows? PHP? ???? ??
Jul 15, 2025 am 02:46 AM
Windows? PHP? ???? ?? ???? ??? ?????. 1. ??? PHP ??? ?????? ?? ??????. Apache? ?? ThreadSafe ??? ????? Nginx??? ThreadSafe ??? ???? ?? ????. 2. php.ini ??? ???? php.ini-development ?? php.ini-production? php.ini? ?????. 3. ?? ? ??? ?? ??? ?? ?? ??? PHP ??? ??????. 4. PHP? ????? ?????? ??? ????? ?? ?? ?? PHP-V? ???? ?? ??? ???? ?? ?? ??? ??????. 5. Apache? ???? ?? httpd.conf?? p? ???????.
PHP ? ???? ??? ??????
Jul 16, 2025 am 03:45 AM
phpisaserver-sideScriptingLanguageUsedForWebDevelopment, ?? ProcessesData, InteractSwithDatabases ? SendShtmlTobrowsers.commonusesincludeusera-sectentication, e-commerceplatforms
PHP?? ?? ?? (??/??)? ??? ??????
Jul 16, 2025 am 03:48 AM
ToHandleFileOperationsInphp, useAppreptFunctionsandModes.1.TOREADAFILE, USEFILE_GET_CONTENTS () FORSMALLFILESORFGETS () inALOOPFORLE-by-lineProcessing.2.TOWRITETOAFILE, USEFILE_PUTE_CONTENTS () USEFILE_PUTE_CONTENTS () FORSIMPLEWRITE () FORSIMPLAGFILE (ORFENDFLAG)
? ?? PHP ???? : ???? ??
Jul 16, 2025 am 03:42 AM
? ?? PHP ???? ??? ???? ??? ?????? ?? ?? ?? ??? ???? XAMPP/MAMP/LAMP? ?? ? ?? ??? ???? ???? ??? ???? ??? ?????. ??, hello.php?? ??? ??? ?? ??? ???? ???? ??????. ??, PHP ? HTML? ???? ?? ??? ??? ???? ?? ????. ?????, ???? ??, ?? ?? ? ?? ?? ??? ?? ???? ?????? ???? ???? ?? ????? ???????.
PHP ?? : ??
Jul 15, 2025 am 02:46 AM
PHP? ?? ???? 4 ?? ?? ??? ?????. 1. PHP ??? ?????? ??? ??? ???? ?? ?????. 2. Echo ? Print? ????? ?? ???? ????, ??? Echo? ?? ?? ??? ?????? ??????. 3. ?? ???? ?? ???? ??????? //, # ? //; 4. ? ??? ?????? ????? ??? ?? ????? ??? ??? ??? ?? ???? ??? ????. ??? ?? ??? ????? ???? ???? PHP ??? ???? ? ??? ? ? ????.
PHP 8 ?? ???
Jul 16, 2025 am 03:41 AM
???? PHP8? ???? ??? ??? ????. 1. ????? ??? ?? ????; 2. PHP8 ? ?? ?? ??? ??????. 3. ??? ????? ????? ??? ??????. 4. ??? ?? ?? ??? ??????. Windows ???? Zip ???? ?????? ?? ?? ? ?? ?? ??? ???? ???? ????? ?? ??? ??? ?? ? ? ????. MACOS ???? Homebrew? ???? ? ??, PHP8 ??, ?? ?? ?? ? ?? ??? ?? ??? ???? ?? ????. ?? ??? ?? ????? ???? ????? ????? ??? ?? ??? ??? ??? ? ????.
?? ??? ?? ???
Jul 15, 2025 am 02:55 AM
Python? Ifelse ??? ???? ??? ??? ??? ?? ??? ???? ????. 1. ???? ??? ???? ??? ???? ????. ??? ??? ?? ??? ???? ?? ?????. 2. ?? ?? ??? ELIF? ?? ????, ????? ???? ?? ???? ?????. 3. ?? ?? ??? ???? ?? ?? ? ?? ? ?? ???? ?? ?? ????. 4. 3 ?? ??? ??? ?????? ??? ifelse? ???? ? ??? ? ????. ?? ??, ??? ?? ? ??? ??????? ?????? ??? ???? ???? ?? ??? ??? ? ????.
