MySQL连接中的PHP参数化查询|极客教程

MySQL连接中的PHP参数化查询

在本文中，我们将介绍如何使用PHP连接MySQL，并编写安全的参数化查询，以防止SQL注入攻击。

阅读更多：MySQL 教程

连接到MySQL数据库

首先，我们需要在PHP代码中建立一个数据库连接。这可以通过使用mysqli_connect()函数来完成。

$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";

// 创建连接
$conn = mysqli_connect($servername, $username, $password, $dbname);

// 检查连接
if (!$conn) {
    die("连接失败: " . mysqli_connect_error());
}
echo "连接成功";

在这个例子中，我们使用mysqli_connect()函数来连接到本地MySQL实例，并将结果保存在$conn变量中。我们还通过检查连接是否成功来确认操作是否成功。

SQL注入攻击

在编写SQL查询时，最常见的漏洞是SQL注入攻击。在这种攻击中，恶意用户将恶意代码插入查询中，从而可能导致系统崩溃或泄露敏感信息。

例如，下面的代码显示了一个不安全的登录查询：

$username = $_POST['username'];
$password = $_POST['password'];

$sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";
$result = mysqli_query($conn, $sql);

if (mysqli_num_rows($result) > 0) {
    // 登录成功
} else {
    // 登录失败
}

这个代码接受POST请求中的用户名和密码，并将它们插入到查询中。攻击者可以轻松地通过将恶意代码插入用户名或密码来绕过该查询。

参数化查询

为了防止SQL注入攻击，我们应该使用参数化查询。在参数化查询中，我们将查询参数化，这意味着我们使用？和变量来代替查询中的值。

例如，下面的代码显示了一个安全的登录查询：

$username = $_POST['username'];
$password = $_POST['password'];

$stmt = mysqli_prepare($conn, "SELECT * FROM users WHERE username=? AND password=?");
mysqli_stmt_bind_param($stmt, "ss", $username, $password);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);

if (mysqli_num_rows($result) > 0) {
    // 登录成功
} else {
    // 登录失败
}

在这个代码中，我们使用mysqli_prepare()函数来创建一个参数化查询。然后，我们使用mysqli_stmt_bind_param()函数将变量绑定到查询中的？。最后，我们使用mysqli_stmt_execute()函数执行查询并使用mysqli_stmt_get_result()函数获取结果。

通过使用参数化查询，我们可以避免SQL注入攻击并确保安全地与数据库交互。