PHP MySQLI empêcher L'Injection SQL [dupliquer]

n'importe quelle requête peut être injectée qu'elle soit lue ou écrite, persistante ou transitoire. Les Injections peuvent être effectuées en terminant une requête et en exécutant une autre (possible avec mysqli ), ce qui rend la requête prévue non pertinente.

Toute entrée d'une requête à partir d'une source externe si elle est de utilisateurs ou même interne doit être considéré comme un argument de la requête, et d'un paramètre dans le contexte de la requête. Tout paramètre dans une requête doit être paramétrable. Cela conduit à une requête correctement paramétrée que vous pouvez créer une instruction préparée à partir des arguments et exécuter avec eux. Par exemple:

SELECT col1 FROM t1 WHERE col2 = ?

? est un paramètre. En utilisant mysqli , vous pouvez créer une déclaration préparée en utilisant prepare , lier une variable (argument) à un paramètre en utilisant bind_param , et exécuter la requête avec execute . Vous ne devez pas assainir l'argument du tout (en fait, il est préjudiciable faire.) mysqli fait ça pour vous. Le processus complet serait:

$stmt = mysqli->prepare("SELECT col1 FROM t1 WHERE col2 = ?");
$stmt->bind_param("s", $col2_arg);
$stmt->execute();

il y a aussi une distinction importante entre requête paramétrée et déclaration préparée . Cette déclaration, lorsqu'elle est préparée, n'est pas paramétrée et est donc vulnérable à l'injection:

$stmt = mysqli->prepare("INSERT INTO t1 VALUES ($_POST[user_input])");

pour résumer:

• tous les Requêtes doivent être correctement paramétré (à moins qu'ils n'ont pas de paramètres)
• "tous les arguments à une requête doivent être traités aussi hostiles que possible peu importe leur source