作者appleboy46 (小惡魔)
看板PHP
標題[討論] 防止 SQL injection 方式
時間Thu Jun 26 16:30:26 2008
1F：推 wayway2004 :sql字串第一行多了where 06/24 17:32
2F：推 arrack :同樓上，把sql echo 出來 丟到MYSQL 執行 就知道哪 06/25 10:24
3F：→ KC73 :從一開始就要習慣, $_POST、$_GET 不要直接拿來用. 06/25 11:47
4F：→ ybite :樓上這句話很重要（SQL injection可是很恐怖的！） 06/25 16:05
5F：→ leoangela :謝謝大大指教，問題已解 06/25 19:15
6F：→ KC73 :希望你還有注意到 $_POST 和 $_GET 的問題. 06/25 22:47
針對回文的 SQL injection 方式討論
我想這是現在網站最缺乏的東西了～ 網站安全已經是現在蠻熱門的議題
我自己解決方法，就是 include 一段程式碼在每一個 php 頁面
這個作法我覺得相當不錯，這是從 phpBB 的程式碼節錄的～ XD 我抄襲了 哈哈
code 如下：
if( !get_magic_quotes_gpc() )
{
if( is_array($_GET) )
{
while( list($k, $v) = each($_GET) )
{
if( is_array($_GET[$k]) )
{
while( list($k2, $v2) = each($_GET[$k]) )
{
$_GET[$k][$k2] = addslashes($v2);
}
@reset($_GET[$k]);
}
else
{
$_GET[$k] = addslashes($v);
}
}
@reset($_GET);
}
if( is_array($_POST) )
{
while( list($k, $v) = each($_POST) )
{
if( is_array($_POST[$k]) )
{
while( list($k2, $v2) = each($_POST[$k]) )
{
$_POST[$k][$k2] = addslashes($v2);
}
@reset($_POST[$k]);
}
else
{
$_POST[$k] = addslashes($v);
}
}
@reset($_POST);
}
if( is_array($_COOKIE) )
{
while( list($k, $v) = each($_COOKIE) )
{
if( is_array($_COOKIE[$k]) )
{
while( list($k2, $v2) = each($_COOKIE[$k]) )
{
$_COOKIE[$k][$k2] = addslashes($v2);
}
@reset($_COOKIE[$k]);
}
else
{
$_COOKIE[$k] = addslashes($v);
}
}
@reset($_COOKIE);
}
}
大家可以自己收下吧 ～ XD
這是我解決方式～ 大家討論看看還有無其他方法
文章同步於我的 blog：
http://blog.wu-boy.com/2008/06/26/285/
--
感動了千萬人的漫畫
http://0rz.tw/b84cp
父母寫給兒女的一封信
http://0rz.tw/354h7 爆笑msn圖片
http://0rz.tw/ff4dS
你家的狗可以這樣嗎？
http://0rz.tw/f449H 超完美便當
http://0rz.tw/4f4j8
吊不完的車
http://0rz.tw/d34gf
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.123.107.20
7F：推 mosquito520 :推:) 06/26 18:11
8F：推 ileadu :最佳辦法 直接打開 magic_quotes_gpc 06/26 19:19
9F：推 skywalking :Prepared Statements 的方式, 如下: 06/26 20:34
11F：推 chph :打開 magic_quotes_gpc 絕對是一個最爛方法 06/26 21:43
12F：→ chph :寫PHP的我想沒多少人喜歡用這個 06/26 21:45
13F：→ mizuiro :上面的程式不就是做打開magic_quotes_gpc的事嗎? 06/26 23:22
14F：→ mizuiro :上面應該是要避免有人沒開,沒開的話就用自己寫的來做 06/26 23:23
15F：→ arrack :不建議這樣使用，還是乖乖自己寫function 篩選吧 06/27 00:38
16F：推 GALINE :mysql_escape_string <- 這個呢？雖然只限MySQL使用 06/27 01:26
17F：→ KC73 :最佳辦法是貼紙條在螢幕上「不直接用$_POST、$_GET」 06/27 02:32
18F：→ KC73 :剛開始起步, 就得養成注意這些事情的習慣.. 06/27 02:33
19F：推 liaosankai :if(!get_magic_quotes_gpc())←就是檢查不存在的話 06/27 12:25
20F：→ liaosankai :才做自訂的方法，這樣做很ok呀，沒什麼問題 06/27 12:26
21F：推 kylekai :請務必要用關閉 magic_quotes_gpc 的方法... 06/27 13:28
23F：推 JeffMcBride :原PO的方法在設計上要避免雙反斜\\的結果 06/27 19:55
24F：→ JeffMcBride :一般在資料庫存取前再處理即可防sql injection 06/27 19:57
25F：→ JeffMcBride :顧名思義嘛:p 06/27 19:57
26F：推 ileadu :五樓不想打開也沒關係啊 請加原po這一段 完全跟打開 06/27 21:31
27F：→ ileadu :magic_quotes_gpc 做一樣的事 這才叫最爛的方法吧？ 06/27 21:31
28F：→ ileadu :還有請不要把自己的不喜歡 推到別人也不喜歡... 06/27 21:33
29F：推 ileadu :kylekai 的連結我看了 06/27 21:53
31F：→ ileadu :到那時會有更好的方法？ 06/27 22:00
32F：推 ileadu :我再找些相關資料... PHP6 確定沒有magic_quotes 06/27 22:07
33F：→ ileadu :而被移除的理由是 效能.. 因為不是輸入都存到DB 06/27 22:08
35F：推 ileadu :而日後防止SQL injection 的方法 自己加addslashes 06/27 22:15
36F：→ ileadu :原po指的加在每一頁 跟開magic_quote 沒兩樣... 06/27 22:15
37F：→ ileadu :改成 放在要存到 DB 的處理頁面即可 06/27 22:16
38F：→ ileadu :有輸入欄位 又不存入db 還滿少的 除了文字記錄 :p 06/27 22:17