Как я могу предотвратить Внедрение SQL в PHP?

Я рекомендовал бы использовать PDO (Объекты данных PHP) для выполнения параметризованных SQL-запросов.

Не только делает это защищает от Внедрения SQL, но и оно также ускоряет запросы.

И при помощи PDO, а не mysql_, mysqli_, и pgsql_ функции, Вы подаете свою заявку, немного более абстрактную от базы данных в редком возникновении, что необходимо переключить поставщиков БД.

Предупреждение устаревшее: пример кода Этого ответа (как пример кода вопроса) использует PHP's MySQL расширение, которое было удержано от использования в PHP 5.5.0 и удалено полностью в PHP 7.0.0.

Предупреждение системы безопасности: Этот ответ не соответствует лучшим практикам безопасности. Выход является несоответствующим, чтобы предотвратить Внедрение SQL, использовать подготовленные операторы вместо этого. Используйте стратегию, обрисованную в общих чертах ниже на Ваш собственный риск. (Кроме того, mysql_real_escape_string() был удален в PHP 7.)

Если Вы используете последнюю версию PHP, mysql_real_escape_string опция, обрисованная в общих чертах ниже, больше не будет доступна (хотя mysqli::escape_string современный эквивалент). В эти дни mysql_real_escape_string опция только имела бы смысл для унаследованного кода на старой версии PHP.

У Вас есть две опции - выход из специальных символов в Вашем unsafe_variable, или использование параметризированного запроса. Оба защитили бы Вас от Внедрения SQL. Параметризированный запрос считают лучшей практикой, но потребует изменения на более новое расширение MySQL в PHP, прежде чем можно будет использовать его.

Мы покроем более низкую строку влияния, выходящую из одного первого.

//Connect

$unsafe_variable = $_POST["user-input"];
$safe_variable = mysql_real_escape_string($unsafe_variable);

mysql_query("INSERT INTO table (column) VALUES ('" . $safe_variable . "')");

//Disconnect

См. также, детали mysql_real_escape_string функция.

Для использования параметризированного запроса необходимо использовать MySQLi, а не функции MySQL. Для перезаписи примера нам было бы нужно что-то как следующее.

<?php
    $mysqli = new mysqli("server", "username", "password", "database_name");

    // TODO - Check that connection was successful.

    $unsafe_variable = $_POST["user-input"];

    $stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");

    // TODO check that $stmt creation succeeded

    // "s" means the database expects a string
    $stmt->bind_param("s", $unsafe_variable);

    $stmt->execute();

    $stmt->close();

    $mysqli->close();
?>

Ключевая функция, на которой Вы захотите читать, была бы mysqli::prepare.

Кроме того, как другие предположили, можно найти полезным/легче повысить слоя абстракции с чем-то как PDO.

Обратите внимание на то, что случай, о котором Вы спросили, является довольно простым и что более сложные случаи могут потребовать более сложных подходов. В особенности:

• Если Вы хотите изменить структуру SQL на основе ввода данных пользователем, параметризированные запросы не собираются помогать, и требуемый выход не покрыт mysql_real_escape_string. В этом виде случая Вы были бы более обеспеченной передачей входа пользователя через белый список, чтобы гарантировать, что только 'безопасные' значения позволяются через.
• Если Вы используете целые числа от ввода данных пользователем в условии и берете mysql_real_escape_string подход, Вы пострадаете от проблемы, описанной Многочленом в комментариях ниже. Этот случай более хитер, потому что целые числа не были бы окружены кавычками, таким образом, Вы могли иметь дело с путем проверки, что ввод данных пользователем содержит только цифры.
• Существуют вероятные другие случаи, о которых я не знаю. Вы могли бы найти, что это - полезный ресурс на некоторых более тонких проблемах, с которыми можно встретиться.

Используйте PDO и подготовленные запросы.

($conn PDO объект)

$stmt = $conn->prepare("INSERT INTO tbl VALUES(:id, :name)");
$stmt->bindValue(':id', $id);
$stmt->bindValue(':name', $name);
$stmt->execute();

Вы могли сделать что-то основное как это:

$safe_variable = mysqli_real_escape_string($_POST["user-input"], $dbConnection);
mysqli_query($dbConnection, "INSERT INTO table (column) VALUES ('" . $safe_variable . "')");

Это не решит каждую проблему, но это - очень хорошая стартовая площадка. Я не учел очевидные объекты, такие как проверка существования переменной, формат (числа, буквы, и т.д.).

Независимо от того, что Вы действительно заканчиваете тем, что использовали, удостоверьтесь, что Вы проверяете, что Ваш вход не был уже искажен magic_quotes или некоторый другой действующий из лучших побуждений мусор, и при необходимости, выполнял его до stripslashes или безотносительно санировать его.

Я предпочитаю хранимые процедуры ( MySQL поддерживает хранимые процедуры с версии 5.0 ) с точки зрения безопасности - преимущества -

1. Большинство баз данных (включая MySQL ) позволяют ограничить доступ пользователей к выполнению хранимых процедур. Детальный контроль доступа к системе безопасности полезен для предотвращения атак, связанных с повышением привилегий. Это препятствует тому, чтобы скомпрометированные приложения могли запускать SQL непосредственно в базе данных.
2. Они абстрагируют необработанный SQL-запрос от приложения, поэтому приложению доступно меньше информации о структуре базы данных. Это затрудняет понимание базовой структуры базы данных и разработку подходящих атак
3. . Они принимают только параметры, поэтому преимущества параметризованных запросов есть. Конечно - ИМО, вам все равно нужно дезинфицировать свой ввод - особенно если вы используете динамический SQL внутри хранимой процедуры.

Недостатки -

1. Их (хранимые процедуры) сложно поддерживать и они имеют тенденцию очень быстро размножаться. Это делает управление ими проблемой.
2. Они не очень подходят для динамических запросов - если они построены так, чтобы принимать динамический код в качестве параметров, то многие преимущества сводятся на нет.