防御SQL注入方法（2）-过滤特殊字符

防御SQL注入的一个重要方法是对用户输入进行过滤，PHP中mysqli_real_escape_string(connection,escapestring)和mysqli_escape_string(connection,escapestring)函数就是对用户输入进行转义的，两者功能一样。mysql_real_escape_string()与mysql_escape_string()的转义方式在PHP5.3以上的版本中已经弃用。以DVWA中SQL注入源码为例，了解过滤函数的用法。
(1)没有任何过滤

if( isset( $_REQUEST[ 'Submit' ] ) ) {
    // Get input
    $id = $_REQUEST[ 'id' ];

    // Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '
' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '
' );

    // Get results
    while( $row = mysqli_fetch_assoc( $result ) ) {
        // Get values
        $first = $row["first_name"];
        $last  = $row["last_name"];

        // Feedback for end user
        $html .= "
ID: {$id}
First name: {$first}
Surname: {$last}
";
    }

    mysqli_close($GLOBALS["___mysqli_ston"]);
}

?>

id没有经过过滤就进入SQL查询语句： query = “SELECT first_name, last_name FROM users WHERE user_id = ‘$id’;”，存在SQL注入的风险。
(2)使用mysqli_real_escape_string(connection,escapestring)函数过滤

if( isset( $_POST[ 'Submit' ] ) ) {
    // Get input
    $id = $_POST[ 'id' ];

    $id = mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $id);

    $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
    $result = mysqli_query($GLOBALS["___mysqli_ston"], $query) or die( '
' . mysqli_error($GLOBALS["___mysqli_ston"]) . '
' );

    // Get results
    while( $row = mysqli_fetch_assoc( $result ) ) {
        // Display values
        $first = $row["first_name"];
        $last  = $row["last_name"];

        // Feedback for end user
        $html .= "
ID: {$id}
First name: {$first}
Surname: {$last}
";
    }

}

// This is used later on in the index.php page
// Setting it here so we can close the database connection in here like in the rest of the source scripts
$query  = "SELECT COUNT(*) FROM users;";
$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '
' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '
' );
$number_of_rows = mysqli_fetch_row( $result )[0];

mysqli_close($GLOBALS["___mysqli_ston"]);
?>

使用mysqli_real_escape_string(connection,escapestring)函数对输入$id进行过滤，可以防止特殊字符造成的SQL命令拼接。
但是现在使用mysqli_real_escape_string()已经不是最好的方法了，提倡使用PDO(PHP数据对象)，需要PHP5以上版本的面向对象作为支持。它是在底层实现的数据库操作接口，可以实现高级的数据库操作，比如调用存储过程，因此安全性更高。下面同样借用DVWA源码进行说明。
(3)安全性更高的PDO

if( isset( $_GET[ 'Submit' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $id = $_GET[ 'id' ];

    // Was a number entered?
    if(is_numeric( $id )) {
        // Check the database
        $data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
        $data->bindParam( ':id', $id, PDO::PARAM_INT );
        $data->execute();
        $row = $data->fetch();

        // Make sure only 1 result is returned
        if( $data->rowCount() == 1 ) {
            // Get values
            $first = $row[ 'first_name' ];
            $last  = $row[ 'last_name' ];

            // Feedback for end user
            $html .= "
ID: {$id}
First name: {$first}
Surname: {$last}
";
        }
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

此例来自DVWA安全性等级为impossible的源码，例子中使用PDO对象的同时还使用了预编译函数prepare()绑定变量，更加确保了SQL语句的正确执行。