PHP与SQL注入攻击[三]

wheat

这几天太忙，继续连载哈哈，争取半个月结束。

上文说到数据库自带的不安全输入过滤功能，但这样的功能不是所有数据库都有的。目前大概只有MySQL,SQLite,PostgreSQL,Sybase带有这样的功能，而包括Oracle和SQL Server在内的很多数据库都没有。

鉴于这样的情况，一般开发者采用一种通用的方法来避免不安全的数据写入数据库--base64编码。这样可以避免所有可能引起问题的特殊字符造成的危险。但Base64编码后的数据容量大概会增加33%，比较占用空间。在PostgreSQL中，使用Base64编码数据还有个问题，就是无法使用'LIKE'查询。

所以总结这么多，我们知道光靠数据库自身的字符串屏蔽也是不行的。我们需要一种解决方案，在特殊字符影响到我们的Query语句之前，就把危险的字符过滤掉。预定义查询(Prepared queries/prepared statements)是一个非常好的方法。什么是预定义查询呢？　它就相当于一个查询语句的模板，定义了查询语句的结构和某些部份的数据类型。如果我们提交的SQL语句符合这个模板的定义，就执行，否则就不执行，报出错误。

例如：

pg_query($conn, “PREPARE stmt_name (text) AS SELECT * FROM users WHERE name=$1”);
pg_query($conn, “EXECUTE stmt_name ({$name})”);
pg_query($conn, “DEALLOCATE stmt_name”);

PREPARE stmt_name (text) AS ..定义了一个查询的格式，这里除了$1之外的所有字符都是占位符，不允许更改。呵呵，我觉得这种方法实在是个好方法。不过可惜不是所有数据库都支持。。