php防sql注入的方法：1、使用mysql_real_escape_string方法轉義SQL語句中使用的字符串中的特殊字符；2、打開magic_quotes_gpc來防止SQL注入；3、通過自定義函數(shù)防sql注入。

PHP+Mysql防止SQL注入的方法

這篇文章介紹的內(nèi)容是關于PHP+Mysql防止SQL注入的方法：

方法一：

mysql_real_escape_string -- 轉義 SQL 語句中使用的字符串中的特殊字符，并考慮到連接的當前字符集 ！$sql = "select count(*) as ctr from users where username

='".mysql_real_escape_string($username)."' and

password='". mysql_real_escape_string($pw)."' limit 1";

方法二：

打開magic_quotes_gpc來防止SQL注入。php.ini中有一個設置：magic_quotes_gpc = Off這個默認是關閉的，如果它打開后將自動把用戶提交對sql的查詢進行轉換，比如把 ' 轉為 \'等，對于防止sql注射有重大作用。

如果magic_quotes_gpc=Off，則使用addslashes()函數(shù)。

方法三：

自定義函數(shù)/**

* 防止sql注入自定義方法一

* author: xiaochuan

* @param: mixed $value 參數(shù)值

*/

function check_param($value=null) {

# select|insert|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile

$str = 'select|insert|and|or|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile';

if(!$value) {

exit('沒有參數(shù)！');

}elseif(eregi($str, $value)) {

exit('參數(shù)非法！');

}

return true;

}

/**

* 防止sql注入自定義方法二

* author: xiaochuan

* @param: mixed $value 參數(shù)值

*/

function str_check( $value ) {

if(!get_magic_quotes_gpc()) {

// 進行過濾

$value = addslashes($value);

}

$value = str_replace("_", "\_", $value);

$value = str_replace("%", "\%", $value);

return $value;

}

/**

* 防止sql注入自定義方法三

* author: xiaochuan

* @param: mixed $value 參數(shù)值

*/

function post_check($value) {

if(!get_magic_quotes_gpc()) {

// 進行過濾

$value = addslashes($value);

}

$value = str_replace("_", "\_", $value);

$value = str_replace("%", "\%", $value);

$value = nl2br($value);

$value = htmlspecialchars($value);

return $value;

}

以上就是PHP+Mysql防止SQL注入的方法的詳細內(nèi)容

總結

以上是生活随笔為你收集整理的php mysql 防 sql注入_php 防sql注入方法的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。