本文实例讲述了PHP使用PDO实现mysql防注入功能。分享给大家供大家参考，具体如下：
1、什么是注入攻击
例如下例：
前端有个提交表格：
<form action="test.php" method="post">
姓名：<input name="username" type="text">
密码：<input name="password" type="password">
<input type="submit" value="登陆">
</form>
后台的处理如下：
<"username"];
$password=$_POST["password"];
$age=$_POST["age"];
//连接数据库，新建PDO对象
$pdo=new PDO("mysql:host=localhost;dbname=phpdemo","root","1234");
$sql="select * from login WHERE username='{$username}' AND password='{$password}' ";
echo $sql;
$stmt=$pdo->query($sql);
//rowCount()方法返回结果条数或者受影响的行数
if($stmt->rowCount()>0){ echo "登陆成功!"};
正常情况下，如果你输入姓名为小王，密码xiaowang，会登陆成功，sql语句如下：select * from login WHERE username='小王' AND password='xiaowang' 登陆成功！
但是如果你输入姓名为 ' or 1=1 #,密码随便输一个，也会登陆成功，sql语句为：select * from login WHERE username='' or 1=1 #' AND password='xiaowang' 登陆成功！
可以看到username='' or 1=1，#注释调了之后的password语句，由于 1=1恒成立，因此这条语句会返回大于1的结果集，从而使验证通过。
2、使用quote过滤特殊字符，防止注入
在sql语句前加上一行，将username变量中的‘等特殊字符过滤，可以起到防止注入的效果
//通过quote方法,返回带引号的字符串，过滤调特殊字符
$username=$pdo->quote($username);
$sql="select * from login WHERE username={$username} AND password='{$password}' ";
echo $sql;
$stmt=$pdo->query($sql);
//rowCount()方法返回结果条数或者受影响的行数
if($stmt->rowCount()>0){
echo "登陆成功！";
};
sql语句为：select * from login WHERE username='\' or 1=1 #' AND password='xiaowang'
可以看到“'”被转义\'，并且自动为变量$username加上了引号
3、通过预处理语句传递参数，防注入
//通过占位符:username,:password传递值，防止注入
$sql="select * from login WHERE username=:username AND password=:password";
$stmt=$pdo->prepare($sql);
//通过statement对象执行查询语句，并以数组的形式赋值给查询语句中的占位符
$stmt->execute(array(':username'=>$username,':password'=>$password));
echo $stmt->rowCount();
其中的占位符也可以为？
//占位符为？ $sql="select * from login WHERE username="; $stmt=$pdo->prepare($sql); //数组中参数的顺序与查询语句中问号的顺序必须相同 $stmt->execute(array($username,$password)); echo $stmt->rowCount();
4、通过bind绑定参数
bindParam()方法绑定一个变量到查询语句中的参数：
$sql="insert login(username,password,upic,mail) values(:username,:password,:age,:mail)";
$stmt=$pdo->prepare($sql);
//第三个参数可以指定参数的类型PDO::PARAM_STR为字符串，PDO::PARAM_INT为整型数
$stmt->bindParam(":username",$username,PDO::PARAM_STR);
$stmt->bindParam(":password",$password,PDO::PARAM_STR);
$stmt->bindParam(":age",$age,PDO::PARAM_INT);
//使用bindValue()方法绑定一个定值
$stmt->bindValue(":mail",'default@qq.com');
$stmt->execute();
echo $stmt->rowCount();
使用问号做占位符：
$sql="insert login(username,password,mail) values(";//注意不是中文状态下的问号？
$stmt=$pdo->prepare($sql); //按照"color: #0000ff">default@qq.com'，它不随变量的变化而变化。
bindColumn()方法绑定返回结果集的一列到变量：
$sql='SELECT * FROM user';
$stmt=$pdo->prepare($sql);
$stmt->execute();
$stmt->bindColumn(2,$username);
$stmt->bindColumn(4,$email);
while($stmt->fetch(PDO::FETCH_BOUND)){
echo '用户名：'.$username.",邮箱：".$email.'<hr/>';
}
更多关于PHP相关内容感兴趣的读者可查看本站专题：《PHP基于pdo操作数据库技巧总结》、《php+mysqli数据库程序设计技巧总结》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》
希望本文所述对大家PHP程序设计有所帮助。
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
这一波大模型产业落地浪潮里，不少企业其实处在 “干瞪眼“的状态。
一种情况是，很多大模型产品看得见却摸不着，在台上一个个遥遥领先——今天Sora技精四座，明天英伟达的机器人又赢得满堂彩，可是到了台下一问：啥时候能用上啊？答曰：遥遥无期。
另一种情况是，企业想用上大模型，却又难免瞻前顾后——既要考虑场景融合，又得兼顾安全性，还要考虑打通现有系统，再加上各种部署成本和繁琐的采购流程……最后只能拂袖：罢了，再等等吧。
稳了！魔兽国服回归的3条重磅消息！官宣时间再确认！
昨天有一位朋友在大神群里分享，自己亚服账号被封号之后居然弹出了国服的封号信息对话框。
这里面让他访问的是一个国服的战网网址，com.cn和后面的zh都非常明白地表明这就是国服战网。
而他在复制这个网址并且进行登录之后，确实是网易的网址，也就是我们熟悉的停服之后国服发布的暴雪游戏产品运营到期开放退款的说明。这是一件比较奇怪的事情，因为以前都没有出现这样的情况，现在突然提示跳转到国服战网的网址，是不是说明了简体中文客户端已经开始进行更新了呢？