如果您通過網頁獲取使用者輸入的資料並將其插入乙個mysql資料庫，那麼就有可能發生sql注入安全的問題。
本章節將為大家介紹如何防止sql注入，並通過指令碼來過濾sql中注入的字元。
所謂sql注入，就是通過把sql命令插入到web表單遞交或輸入網域名稱或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的sql命令。
我們永遠不要信任使用者的輸入，我們必須認定使用者輸入的資料都是不安全的，我們都需要對使用者輸入的資料進行過濾處理。
以下例項中，輸入的使用者名稱必須為字母、數字及下劃線的組合，且使用者名稱長度為 8 到 20 個字元之間：
if (preg_match("/^\w$/", $_get[『username』], $matches))
' at position 15: matches[0]"); }̲ else 』」);
以上的注入語句中，我們沒有對 nam
e的變數
進行過濾
，name 的變數進行過濾，
name的變
量進行過
濾，name 中插入了我們不需要的sql語句，將刪除 users 表中的所有資料。
在php中的 mysqli_query() 是不允許執行多個 sql 語句的，但是在 sqlite 和 postgresql 是可以同時執行多條sql語句的，所以我們對這些使用者的資料需要進行嚴格的驗證。
防止sql注入，我們需要注意以下幾個要點：
1.永遠不要信任使用者的輸入。對使用者的輸入進行校驗，可以通過正規表示式，或限制長度；對單引號和 雙」-"進行轉換等。
2.永遠不要使用動態拼裝sql，可以使用引數化的sql或者直接使用儲存過程進行資料查詢訪問。
3.永遠不要使用管理員許可權的資料庫連線，為每個應用使用單獨的許可權有限的資料庫連線。
4.不要把機密資訊直接存放，加密或者hash掉密碼和敏感的資訊。
5.應用的異常資訊應該給出盡可能少的提示，最好使用自定義的錯誤資訊對原始錯誤資訊進行包裝
6.sql注入的檢測方法一般採取輔助軟體或**平台來檢測，軟體一般採用sql注入檢測工具jsky，**平台就有億思**安全平台檢測工具。mdcsoft scan等。採用mdcsoft-ips可以有效的防禦sql注入，xss攻擊等。
理論小知識 驗證Mysql安裝
在成功安裝mysql後，一些基礎表會表初始化，在伺服器啟動後，你可以通過簡單的測試來驗證mysql是否工作正常。使用 mysqladmin 工具來獲取伺服器狀態 使用 mysqladmin 命令倆檢查伺服器的版本,在linux上該二進位制檔案位於 usr bin on linux 在window上該...
理論小知識 MySQL 複製表
如果我們需要完全的複製mysql的資料表，包括表的結構，索引，預設值等。如果僅僅使用create table select 命令，是無法實現的。本章節將為大家介紹如何完整的複製mysql資料表，步驟如下 使用 show create table 命令獲取建立資料表 create table 語句，該...
理論小知識 MySQL 資料型別
mysql 資料型別 mysql中定義資料欄位的型別對你資料庫的優化是非常重要的。mysql支援多種型別，大致可以分為三類 數值 日期 時間和字串 字元 型別。數值型別 mysql支援所有標準sql數值資料型別。這些型別包括嚴格數值資料型別 integer smallint decimal和nume...