PHP MySQL语句攻击弊端及插入代码防SQL注入方法咨询

Hey there! Let's break this down clearly—first why SQL injection is such a big threat, then how to fix your insert code properly.

首先，SQL注入到底能搞出多大破坏？ #

• 数据彻底丢失：攻击者可以构造恶意输入，执行像 DROP TABLE messages 这类语句，直接把你的消息表删得一干二净，所有历史数据瞬间消失。
• 敏感数据泄露：如果你的表里存了用户隐私内容（比如联系方式、个人信息），攻击者能通过注入读取整个表，甚至遍历数据库里的所有表，把你的数据全部偷走。
• 服务器权限被控制：严重情况下，攻击者可以通过注入拿到数据库的高权限，进而控制你的服务器，造成更严重的系统安全问题。

举个直观的例子，假设你原来的易受攻击代码是这样的：

<?php
$conn = mysqli_connect("localhost", "username", "password", "dbname");
$message = $_POST['message'];
$sql = "INSERT INTO messages (content) VALUES ('$message')";
if (mysqli_query($conn, $sql)) {
    echo "message inserted";
} else {
    echo "Error: " . mysqli_error($conn);
}
mysqli_close($conn);
?>

如果攻击者在输入框提交：'); DROP TABLE messages; --，最终执行的SQL会变成：

INSERT INTO messages (content) VALUES (''); DROP TABLE messages; -- ')

-- 会把后面的内容变成注释，这就直接删掉了你的 messages 表，后果不堪设想。

怎么防范？用预处理语句（Prepared Statements） #

预处理语句是目前防SQL注入最可靠的方案，核心逻辑是把SQL结构和要插入的数据完全分开：数据库先编译好SQL模板，再安全传入数据，数据永远不会被解析成SQL指令的一部分。

下面给你两种常用的实现方式：

方式1：MySQLi 面向对象写法 #

<?php
$conn = new mysqli("localhost", "username", "password", "dbname");
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// 准备SQL模板，用?作为数据占位符
$stmt = $conn->prepare("INSERT INTO messages (content) VALUES (?)");
// 绑定参数：s表示字符串类型，对应后面的$message变量
$stmt->bind_param("s", $message);

$message = $_POST['message'];
// 执行插入操作
if ($stmt->execute()) {
    echo "message inserted";
} else {
    echo "Error: " . $stmt->error;
}

$stmt->close();
$conn->close();
?>

方式2：PDO写法（更灵活，支持多数据库） #

<?php
try {
    $conn = new PDO("mysql:host=localhost;dbname=dbname", "username", "password");
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 准备SQL模板，用:content作为命名占位符
    $stmt = $conn->prepare("INSERT INTO messages (content) VALUES (:content)");
    // 绑定参数并执行
    $stmt->execute(['content' => $_POST['message']]);
    
    echo "message inserted";
} catch(PDOException $e) {
    echo "Error: " . $e->getMessage();
}
$conn = null;
?>

额外的安全小提醒 #

• 永远不要直接把用户输入（比如$_POST、$_GET里的内容）拼接到SQL语句里，哪怕你觉得输入“看起来很安全”。
• 别依赖mysql_real_escape_string这类旧的转义函数，它们在某些场景下依然有漏洞，预处理语句才是最优解。
• 给数据库用户最小权限：比如连接数据库的账号只给INSERT、SELECT这类必要权限，别给DROP、ALTER高危权限，就算发生注入，也能降低破坏程度。

内容的提问来源于stack exchange，提问作者user9310055