主机名是否可用于SQL注入？PHP $_SERVER['REMOTE_HOST']相关疑问

嘿，这两个问题问到点子上了，我来给你逐一拆解清楚：

1. 用户能否修改主机名以包含SQL注入内容？ #

答案是理论上可行，但实际场景有一定限制：

• 首先，用户如果能控制自己设备的本地主机名（比如修改系统主机名设置），或者能控制指向自身IP的DNS记录（比如自己搭建DNS服务器、使用支持自定义记录的域名服务商），是可以设置包含特殊字符的主机名的——比如直接把主机名改成'; DROP TABLE users; --这类典型的SQL注入 payload。
• 不过要注意，DNS协议本身有字符规范（RFC标准仅允许字母、数字、连字符，且不能以连字符开头/结尾），但有些宽松的DNS服务或本地测试环境可能允许超出规范的字符，这就给注入留下了空间。
• 另外，$_SERVER['REMOTE_HOST']的值是Web服务器通过反向DNS解析得到的，若服务器的反向查询逻辑未做字符过滤，恶意构造的主机名就会直接传递到应用中。

2. 仅移除单引号能否防止SQL注入？ #

绝对不行，这种做法属于片面的、极易被绕过的“偏方”，原因如下：

• SQL注入的攻击方式远不止依赖单引号：比如如果你的SQL语句用双引号包裹字符串（比如SELECT * FROM users WHERE host="$remote_host"），攻击者可以用双引号构造payload；如果变量作为数字类型拼接（比如SELECT * FROM logs WHERE ip_id=$remote_host_id），甚至不需要任何引号就能注入（比如1 OR 1=1--）。
• 就算是单引号场景，攻击者也能轻松绕过过滤：比如用ASCII编码表示单引号（CHAR(39)），或者用注释符绕过（比如'--被过滤的话，用#或者/*...*/注释），甚至用编码转换（比如UTF-8编码变形）来绕过简单的字符移除逻辑。
• 正确的防范方式应该是使用预处理语句（Prepared Statements）（比如PDO或mysqli的预编译功能），或者借助ORM框架，让数据库驱动自动处理参数转义，从根源上避免SQL注入，而非依赖手动过滤特殊字符。

内容的提问来源于stack exchange，提问作者user10833006