分享最基本的PHP防注入安全代码

网站的运行安全肯定是每个站长必须考虑的问题，大家知道，大多数黑客攻击网站都是采用sql注入，这就是我们常说的为什么最原始的静态的网站反而是最安全的。 今天我们讲讲PHP注入的安全规范，php网站如何防止sql注入？ 防止自己的网站被sql注入。

答案：如今主流的网站开发语言还是php，那我们就从php网站如何防止sql注入开始说起： 

Php注入的安全防范通过上面的过程，我们可以了解到php注入的原理和手法，当然我们也同样可以制定出相应该的防范方法： 
首先是对服务器的安全设置，这里主要是php+mysql的安全设置和linux主机的安全设置。

对php+mysql注射的防范,首先将magic_quotes_gpc设置为On，display_errors设置为Off，如果id型，我们利用intval()将其转换成整数类型，如代码： 

$id=intval($id); 
mysql_query=”select *from example where articieid=’$id’”;或者这样写：mysql_query(”SELECT * FROM article WHERE articleid=”.intval($id).”") 

如果是字符型就用addslashes()过滤一下，然后再过滤”%”和”_”如： 
$search=addslashes($search); 
$search=str_replace(“_”,”\_”,$search); 
$search=str_replace(“%”,”\%”,$search); 

当然也可以加php通用防注入代码： 
/************************* 
PHP通用防注入安全代码 
说明： 
判断传递的变量中是否含有非法字符 
如$_POST、$_GET 
功能： 
防注入 
**************************/ 
//要过滤的非法字符 
$ArrFiltrate=array(”‘”,”;”,”union”); 
//出错后要跳转的url,不填则默认前一页 
$StrGoUrl=”"; 
//是否存在数组中的值 
function FunStringExist($StrFiltrate,$ArrFiltrate){ 
foreach ($ArrFiltrate as $key=>$value){ 
if (eregi($value,$StrFiltrate)){ 
return true; 
} 
} 
return false; 
} 
//合并$_POST 和 $_GET 
if(function_exists(array_merge)){ 
$ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS); 
}else{ 
foreach($HTTP_POST_VARS as $key=>$value){ 
$ArrPostAndGet[]=$value; 
} 
foreach($HTTP_GET_VARS as $key=>$value){ 
$ArrPostAndGet[]=$value; 
} 
} 
//验证开始 
foreach($ArrPostAndGet as $key=>$value){ 
if (FunStringExist($value,$ArrFiltrate)){ 
echo “alert(/”Neeao提示，非法字符/”);”; 
if (empty($StrGoUrl)){ 
echo “history.go(-1);”; 
}else{ 
echo “window.location=/”".$StrGoUrl.”/”;”; 
} 
exit; 
} 
} 
?> 
/************************* 
保存为checkpostandget.php 
然后在每个php文件前加include(“checkpostandget.php“);即可 
**************************/ 

另外将管理员用户名和密码都采取md5加密，这样就能有效地防止了php的注入。 
还有服务器和mysql也要加强一些安全防范。 
对于linux服务器的安全设置： 
加密口令，使用“/usr/sbin/authconfig”工具打开密码的shadow功能，对password进行加密。 
禁止访问重要文件，进入linux命令界面，在提示符下输入： 
#chmod 600 /etc/inetd.conf //改变文件属性为600 
#chattr +I   /etc/inetd.conf     //保证文件属主为root 
#chattr –I   /etc/inetd.conf     // 对该文件的改变做限制  
禁止任何用户通过su命令改变为root用户 
在su配置文件即/etc/pam.d/目录下的开头添加下面两行: 
Auth   sufficient   /lib/security/pam_rootok.so debug 
Auth   required   /lib/security/pam_whell.so group=wheel 
删除所有的特殊帐户 
#userdel   lp等等 删除用户 
#groupdel lp等等 删除组 
禁止不使用的suid/sgid程序 
#find / -type f \(-perm -04000   - o –perm -02000 \) \-execls –lg {} \; 

判断传递的变量中是否含有非法字符我们把以下代码放到一个公共的文件里，比如security.inc.php里面，每个文件里都include一下这个文件，那么就能够给任何一个程序进行提交的所有变量进行过滤了，就达到了我们一劳永逸的效果。 

简述：/*************************  
说明：  
判断传递的变量中是否含有非法字符  
如$_POST、$_GET  
功能：防注入  
**************************/  

代码如下: 

<?php  

//要过滤的非法字符  
$ArrFiltrate=array("'",";","union");  
//出错后要跳转的url,不填则默认前一页  
$StrGoUrl="";  
//是否存在数组中的值  
function FunStringExist($StrFiltrate,$ArrFiltrate){  
foreach ($ArrFiltrate as $key=>$value){  
if (eregi($value,$StrFiltrate)){  
return true;  
}  
}  
return false;  
}  

//合并$_POST 和 $_GET  
if(function_exists(array_merge)){  
$ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS);  
}else{  
foreach($HTTP_POST_VARS as $key=>$value){  
$ArrPostAndGet[]=$value;  
}  
foreach($HTTP_GET_VARS as $key=>$value){  
$ArrPostAndGet[]=$value;  
}  
}  

//验证开始  
foreach($ArrPostAndGet as $key=>$value){  
if (FunStringExist($value,$ArrFiltrate)){  
echo "<script language=\"javascript\">alert(\"非法字符\");</script>";  
if (emptyempty($StrGoUrl)){  
echo "<script language=\"javascript\">history.go(-1);</script>";  
}else{  
echo "<script language=\"javascript\">window.location=\"".$StrGoUrl."\";</script>";  
}  
exit;  
}  
}  
?>  


保存为checkpostandget.php  
然后在每个php文件前加include(“checkpostandget.php“);即可  

方法2  代码如下: 

/* 过滤所有GET过来变量 */  
foreach ($_GET as $get_key=>$get_var)  
{  
if (is_numeric($get_var)) {  
$get[strtolower($get_key)] = get_int($get_var);  
} else {  
$get[strtolower($get_key)] = get_str($get_var);  
}  
}  

/* 过滤所有POST过来的变量 */  
foreach ($_POST as $post_key=>$post_var)  
{  
if (is_numeric($post_var)) {  
$post[strtolower($post_key)] = get_int($post_var);  
} else {  
$post[strtolower($post_key)] = get_str($post_var);  
}  
}  

/* 过滤函数 */  
//整型过滤函数  
function get_int($number)  
{  
return intval($number);  
}  
//字符串型过滤函数  
function get_str($string)  
{  
if (!get_magic_quotes_gpc()) {  
return addslashes($string);  
}  
return $string;  
} 

  
第一个是对数据进行转义的方法 

第二个方法写在单独的文件里，引入每一个PHP文件内 

就可以实现对每一个数据进行转义处理了 

function saddslashes($string) { 

 if(is_array($string)) { 

  foreach($string as $key => $val) { 

   $string[$key] = saddslashes($val); 

  } 

 } else { 

  $string = addslashes($string); 

 } 

 return $string; 

} 

################################################################# 

$magic_quote = get_magic_quotes_gpc(); 

if(empty($magic_quote)) { 

 $_GET = saddslashes($_GET); 

 $_POST = saddslashes($_POST); 

}

上一个：上一个下一个信息和产品的PHP源代码
下一个：php里面$_post,$_get过滤单引号与双引号安全函数