PHP 防SQL注入技术

SELECT * FROM users WHERE user='aidan' AND password='' OR ''=''

$username = $_GET['username'];
$sql = "SELECT * FROM user WHERE username = '$username'";

SELECT * FROM user WHERE username = ''; DROP TABLE user; --'

addslashes ( string $str ) : string

$str = addslashes('Shanghai is the "biggest" city in China.');
echo($str);  // Shanghai is the \"biggest\" city in China. 

if (!get_magic_quotes_gpc()) {
    $lastname = addslashes($_POST[‘lastname’]);
} else {
    $lastname = $_POST[‘lastname’];
}

1)对于magic_quotes_gpc=on的情况
我们可以不对输入和输出数据库的字符串数据作addslashes()和stripslashes()的操作,数据也会正常显示。
如果此时你对输入的数据作了addslashes()处理，那么在输出的时候就必须使用stripslashes()去掉多余的反斜杠。

2)对于magic_quotes_gpc=off 的情况
必须使用addslashes()对输入数据进行处理，但并不需要使用stripslashes()格式化输出，
因为addslashes()并未将反斜杠一起写入数据库，只是帮助mysql完成了sql语句的执行。

stripslashes ( string $str ) : string

mysql_real_escape_string ( string $unescaped_string , resource $link_identifier = NULL ) : string

unescaped_string
    The string that is to be escaped.

link_identifier
    MySQL 连接。如不指定连接标识，则使用由 mysql_connect() 最近打开的连接。如果没有找到该连接，会尝试不带参数调用 mysql_connect() 来创建。如没有找到连接或无法建立连接，则会生成 E_WARNING 级别的错误。

    \x00
    \n
    \r
    \
    '
    "
    \x1a

mysqli::escape_string ( string $escapestr ) : string
mysqli::real_escape_string ( string $escapestr ) : string

mysqli_real_escape_string ( mysqli $link , string $escapestr ) : string

link
    仅以过程化样式：由mysqli_connect() 或 mysqli_init() 返回的链接标识。
    
escapestr
    需要进行转义的字符串。
    会被进行转义的字符包括： NUL （ASCII 0），\n，\r，\，'，" 和 Control-Z.

Error: 42000
1 Row inserted.

public PDO::quote ( string $string , int $parameter_type = PDO::PARAM_STR ) : string

string
    要添加引号的字符串。
parameter_type
    为驱动提示数据类型，以便选择引号风格。

Unquoted string: Co'mpl''ex "st'"ring
Quoted string: 'Co''mpl''''ex "st''"ring'

public PDO::prepare ( string $statement , array $driver_options = array() ) : PDOStatement

statement
    必须是对目标数据库服务器有效的 SQL 语句模板。
driver_options
    数组包含一个或多个 key=>value 键值对，为返回的 PDOStatement 对象设置属性。 常见用法是：设置 PDO::ATTR_CURSOR 为 PDO::CURSOR_SCROLL，将得到可滚动的光标。 某些驱动有驱动级的选项，在 prepare 时就设置。

$mysqli = new mysqli('localhost', 'my_user', 'my_password', 'world');
$stmt = $mysqli->prepare("INSERT INTO CountryLanguage VALUES (?, ?, ?, ?)");
$code = 'DEU';
$language = 'Bavarian';
$official = "F";
$percent = 11.2;
$stmt->bind_param('sssd', $code, $language, $official, $percent);

/* Execute a prepared statement by passing an array of values */
$sql = 'SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour'; 
$sth = $dbh->prepare($sql, array(PDO::ATTR_CURSOR => PDO::CURSOR_FWDONLY));
$sth->execute(array(':calories' => 150, ':colour' => 'red'));
$red = $sth->fetchAll();
$sth->execute(array(':calories' => 175, ':colour' => 'yellow'));
$yellow = $sth->fetchAll();

this is smaller &lt; than this<br />
this is greater &gt; than this<br />
this is the same = as this<br />
<a href="http://www.example.com/example.php?test=test">This is a link</a><br />
<b>Bold</b> <i>italic</i> etc...

htmlspecialchars ( string $string , int $flags = ENT_COMPAT | ENT_HTML401 , string $encoding = ini_get("default_charset") , bool $double_encode = true ) : string

字符     替换后
& (& 符号)     &
" (双引号)     "，除非设置了 ENT_NOQUOTES
' (单引号)     设置了 ENT_QUOTES 后， ' (如果是 ENT_HTML401) ，或者 ' (如果是 ENT_XML1、 ENT_XHTML 或 ENT_HTML5)。
< (小于)     &lt;
> (大于)     &gt;

$new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES);
echo $new; // 输出： &lt;a href=&#039;test&#039;&gt;Test&lt;/a&gt;
echo htmlspecialchars_decode($new, ENT_QUOTES); // 输出： <a href='test'>Test</a> 

$username = htmlspecialchars(trim("$_POST[username]"));
$uniqueuser = $realm_db->query('SELECT `login` FROM `accounts` WHERE `login` = "'.$username.'";');

htmlspecialchars_decode ( string $string , int $flags = ENT_COMPAT | ENT_HTML401 ) : string

htmlentities ( string $string , int $flags = ENT_COMPAT | ENT_HTML401 , string $encoding = ini_get("default_charset") , bool $double_encode = true ) : string

html_entity_decode ( string $string , int $flags = ENT_COMPAT , string|null $encoding = null ) : string

# 将字符转换为HTML 数字字符串
mb_encode_numericentity ( string $string , array $map , string|null $encoding = null , bool $hex = false ) : string

# 根据 HTML 数字字符串解码成字符
mb_decode_numericentity ( string $str , array $convmap , string $encoding = mb_internal_encoding() ) : string

get_html_translation_table ( int $table = HTML_SPECIALCHARS , int $flags = ENT_COMPAT | ENT_HTML401 , string $encoding = 'UTF-8' ) : array

// query builder
$userIDs = (new Query())
    ->select('id')
    ->from('user')
    ->where('status=:status', [':status' => $status])
    ->all();

// DAO
$userIDs = $connection
    ->createCommand('SELECT id FROM user where status=:status')
    ->bindValues([':status' => $status])
    ->queryColumn();

function actionList($orderBy = null)
{
    if (!in_array($orderBy, ['name', 'status'])) {
        throw new BadRequestHttpException('Only name and status are allowed to order by.')
    }

    // ...
}

$sql = "SELECT COUNT([[$column]]) FROM \{\{table\}\}";
$rowCount = $connection->createCommand($sql)->queryScalar();

// 在 MySQL 中执行该 SQL : SELECT COUNT(`id`) FROM `employee`
$count = Yii::$app->db->createCommand("SELECT COUNT([[id]]) FROM {\{employee}\}")->queryScalar();