URL의 매개 변수 쿼리를 설정할 수 있습니까?

Question

개발자가 SQL 문의 취약점을 완화하기 위해 URL의 매개 변수가있는 쿼리 을 설정할 수 있음을 알고 싶습니다. 예를 들어

는 :

https://example.com/somefile.php?id=1 

어떻게 개발자는 그에 대한 매개 변수화 쿼리를 만들 수 있습니까? 응용 프로그램의 매개 변수 에서처럼?

Answer 1

예 할 수 있습니다. 매개 변수화 된 쿼리는 간단하며 미리 SQL 쿼리를 정의해야하며 쿼리에서 사용자가 제공 한 변수에 자리 표시자를 사용해야합니다. 그런 다음 SQL 문이 정의 된 후 각 매개 변수를 쿼리에 전달하여 데이터베이스에서 사용자가 입력 한 SQL 명령과 데이터를 구별 할 수있게합니다. 침입자가 SQL 명령을 입력하면 매개 변수화 된 쿼리는이를 신뢰할 수없는 입력으로 처리하고 삽입 된 SQL 명령은 절대로 실행되지 않습니다. 더 많은 이해를 위해 아래 제공된 예를보십시오.

if (isset($_GET['id'])){ 
    $id = $_GET['id']; 
    /** 
    * Validate data before it enters the database. In this case, we need to check that 
    * the value of the 'id' GET parameter is numeric 
    */ 
    if (is_numeric($id) == true){ 
    try{ 
     $dbh = new PDO('mysql:host=localhost;dbname=sql_injection_example', 'dbuser', 'dbpasswd'); 

     $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 

     /** 
     * Before executing our SQL statement, we need to prepare it by 'binding' parameters. 
     * We will bind our validated user input (in this case, it's the value of $id) to our 
     * SQL statement before sending it to the database server. 
     * 
     * This fixes the SQL injection vulnerability. 
     */ 
     $q = "SELECT username 
      FROM users 
      WHERE id = :id"; 
     // Prepare the SQL query 
     $sth = $dbh->prepare($q); 
     // Bind parameters to statement variables 
     $sth->bindParam(':id', $id); 
     // Execute statement 
     $sth->execute(); 

     $sth->setFetchMode(PDO::FETCH_ASSOC); 
     // Fetch result 
     $result = $sth->fetchColumn(); 
     /** 
     * HTML encode our result using htmlentities() to prevent stored XSS and print the 
     * result to the page 
     */ 
     print(htmlentities($result)); 

     $dbh = null; 
    } 
    catch(PDOException $e){ 
     /** 
     * You can log PDO exceptions to PHP's system logger, using the Operating System's 
     * system logging mechanism 
     * 
     * For more logging options visit http://php.net/manual/en/function.error-log.php 
     */ 
     error_log('PDOException - ' . $e->getMessage(), 0); 
     /** 
     * Stop executing, return an 'Internal Server Error' HTTP status code (500), 
     * and display an error 
     */ 
     http_response_code(500); 
     die('Error establishing connection with database'); 
    } 
    } else{ 
    /** 
    * If the value of the 'id' GET parameter is not numeric, stop executing, return 
    * a 'Bad request' HTTP status code (400), and display an error 
    */ 
    http_response_code(400); 
    die('Error processing bad or malformed request'); 
    } 
} 
?> 

Answer 2

문제는 URL에 없지만 나중에 URL에서 전달 된 매개 변수를 사용하는 방법입니다.

가장 좋은 방법은 바인드 변수를 사용하는 것이다 :

• How do prepared statements help us prevent SQL injection attacks?. 또한 '치료'또는 '소독'할 수
• How can I prevent SQL injection in PHP?

탈출 및/또는 의심스러운 데이터를 제거하여 매개 변수를 설정합니다. 이것은 일반적으로 실수하기 쉽도록 구현하는 것은 매우 까다로운 일입니다. 따라서 바인드 변수는 사용하기 간단하고 안전합니다.