SQL注入の予防の中核は、前処理ステートメントの使用にあります。これは、SQLロジックをデータから分離して攻撃者がクエリを操作するのを防ぐ原則です。特定のアプローチは次のとおりです。最初にSQLクエリをプレースホルダーと定義します。次に、データ値を個(gè)別にバインドして、入力が実行可能コードではなく常にデータと見(jiàn)なされることを確認(rèn)します。最後に、手動(dòng)の脫出によって引き起こされる脆弱性とリスクを回避するために、PDOまたはMySQLIを通じて安全なクエリが実裝されます。

SQLインジェクションは最も危険なWebセキュリティリスクの1つであり、PDOまたはMySQLIの準(zhǔn)備されたステートメントは、それを防ぐための最良の方法の1つです。重要なアイデアは簡(jiǎn)単です。SQLロジックをデータから分離することにより、攻撃者がクエリを操作するのを止めます。

何がSQL注入を可能にしますか？

そのコアでは、ユーザー入力が適切に処理されず、SQLコマンドの一部として扱われると、SQLインジェクションが発生します。たとえば、ログインフォームがユーザー名とパスワードを取得し、次のようなクエリに直接挿入する場(chǎng)合：

 $ query = "select * from users where username = '"。 $ _POST ['USERNAME']。 "'";

攻撃者は、クエリのロジックを変更するユーザー名として' OR '1'='1ようなものを入力できます。これにより、不正アクセス、データリーク、またはデータベースの削除につながる可能性があります。

この脆弱性は、アプリケーションがユーザー入力とSQLコードを直接混合するため、存在します。

準(zhǔn)備されたステートメントはどのように機(jī)能しますか？

準(zhǔn)備されたステートメントは、SQL構(gòu)造をデータ値から明確に分離することにより、これを解決します。これがどのように機(jī)能しますか：

• まず、SQLクエリをプレースホルダーで定義します。
• 次に、それらのプレースホルダーに個(gè)別に値をバインドします。
• データベースエンジンは、これらの値が実行可能なコードではなくデータであることを知っています。

実際には、誰(shuí)かが悪意のある入力に入力したとしても、SQLコマンドの一部として実行されないことを意味します。

PDOでは、次のように見(jiàn)えるかもしれません。

 $ stmt = $ pdo-> prepare（ 'select * from users where username =？'）;
$ stmt-> execute（[$ _ post ['username']]）;

mysqliでは、似ています。

 $ stmt = $ mysqli-> prepare（ "select * from users where username =？"）;
$ stmt-> bind_param（ "s"、$ _post ['username']）;
$ stmt-> execute（）;

いずれにせよ、データベースは入力をSQLコードとしてではなく、厳密にデータとして扱います。そのため、注入は機(jī)能しません。

なぜ彼らが手動(dòng)で逃げるよりも優(yōu)れているのか

mysqli_real_escape_string()を使用するだけで十分だと思うかもしれません。しかし、それはいくつかの理由で危険です：

• すべての入力に適用するのを忘れがちです。
• 一部のエッジケース（數(shù)値入力など）は見(jiàn)積もりは必要ありませんが、検証は必要です。
• 脫出は、より複雑な注入技術(shù)から常に保護(hù)するとは限りません。

一方、準(zhǔn)備されたステートメントは、自動(dòng)的に分離を強(qiáng)制します。各価値を逃れることを忘れないでください - システムはあなたのためにそれをします。

また、ユーザー入力が追加される前にSQLがコンパイルされるため、トリッキーなペイロードであっても、クエリ構(gòu)造を変更する可能性はありません。

注意すべきことの1つ：すべてのプレースホルダーが平等に作成されているわけではありません

よくある間違いは、SQL文字列に直接変數(shù)を補(bǔ)間することによるように、準(zhǔn)備されたステートメントを誤って使用することです。例えば：

 //?悪い例
$ stmt = $ pdo-> prepare（ "select * from users where username = '"。$ _post [' username ']。 "'"）;

それは完全に目的を打ち負(fù)かします。ステートメントを作成した後、常にパラメーター化されたプレースホルダー（ ? or :name ）とバインド値を使用します。

また、ユーザー入力、特にテーブルまたは列名に基づいて動(dòng)的にSQLを構(gòu)築しないでください。必要に応じて、それらはハードコードまたはホワイトリストに載る必要があります。

ええ、準(zhǔn)備されたステートメントは、ユーザー入力がSQLコードとして扱われないようにすることにより、SQLインジェクションを防ぐのに役立ちます。それらはPDOとMysqliの両方でサポートされており、値をクエリに連結(jié)するよりもはるかに安全です。実際に正しい方法で使用するようにしてください。そうしないと、あなたはまだ露出しています。

以上がPDOまたはMySQLIの準(zhǔn)備されたステートメントは、どのようにしてSQL注入の脆弱性を防ぐのに役立ちますか？の詳細(xì)內(nèi)容です。詳細(xì)については、PHP 中國(guó)語(yǔ) Web サイトの他の関連記事を參照してください。