PHP如何防止布尔盲注_PHP布尔盲注攻击识别与防护

?

:name

' AND SUBSTRING(password,1,1)='a'

UNION SELECT

$_GET

$_POST

$_REQUEST

<?php
// 1. 数据库连接信息
$host = 'localhost';
$db   = 'your_database';
$user = 'your_username';
$pass = 'your_password';
$charset = 'utf8mb4';

$dsn = "mysql:host=$host;dbname=$db;charset=$charset";
$options = [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION, // 遇到错误抛出异常
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,     // 默认以关联数组形式返回结果
    PDO::ATTR_EMULATE_PREPARES   => false,                // 禁用模拟预处理，使用数据库原生预处理
];

try {
    $pdo = new PDO($dsn, $user, $pass, $options);
} catch (\PDOException $e) {
    // 生产环境不要直接显示错误信息，应该记录到日志
    throw new \PDOException($e->getMessage(), (int)$e->getCode());
}

// 假设用户通过GET请求传入了用户ID
$userId = $_GET['id'] ?? null;

if ($userId) {
    // 2. 准备SQL语句，使用占位符
    // 注意：表名、列名不能用占位符，只能是值
    $stmt = $pdo->prepare("SELECT id, username, email FROM users WHERE id = ?");

    // 3. 绑定参数
    // bindValue() 或 bindParam() 都可以。
    // bindValue() 绑定的是值，bindParam() 绑定的是变量的引用。
    // 这里我们用 bindValue() 更直观。
    $stmt->bindValue(1, $userId, PDO::PARAM_INT); // 明确指定参数类型为整数

    // 4. 执行语句
    $stmt->execute();

    // 5. 获取结果
    $user = $stmt->fetch();

    if ($user) {
        echo "用户ID: " . htmlspecialchars($user['id']) . "<br>";
        echo "用户名: " . htmlspecialchars($user['username']) . "<br>";
        echo "邮箱: " . htmlspecialchars($user['email']) . "<br>";
    } else {
        echo "未找到用户。";
    }
} else {
    echo "请提供用户ID。";
}
?>

prepare()

bindValue()

$userId

PDO::PARAM_INT

$userId

1 OR 1=1

<?php
// 1. 数据库连接
$mysqli = new mysqli("localhost", "your_username", "your_password", "your_database");

// 检查连接
if ($mysqli->connect_errno) {
    // 生产环境同样不直接显示错误
    echo "Failed to connect to MySQL: " . $mysqli->connect_error;
    exit();
}

// 假设用户通过GET请求传入了用户ID
$userId = $_GET['id'] ?? null;

if ($userId) {
    // 2. 准备SQL语句，使用问号占位符
    $stmt = $mysqli->prepare("SELECT id, username, email FROM users WHERE id = ?");

    if ($stmt === false) {
        // 处理预处理失败的情况
        echo "Prepare failed: (" . $mysqli->errno . ") " . $mysqli->error;
        exit();
    }

    // 3. 绑定参数
    // 'i' 表示整数类型，'s' 表示字符串，'d' 表示双精度浮点数，'b' 表示BLOB
    $stmt->bind_param("i", $userId);

    // 4. 执行语句
    $stmt->execute();

    // 5. 获取结果
    $result = $stmt->get_result(); // 获取结果集

    if ($result->num_rows > 0) {
        $user = $result->fetch_assoc();
        echo "用户ID: " . htmlspecialchars($user['id']) . "<br>";
        echo "用户名: " . htmlspecialchars($user['username']) . "<br>";
        echo "邮箱: " . htmlspecialchars($user['email']) . "<br>";
    } else {
        echo "未找到用户。";
    }

    $stmt->close(); // 关闭预处理语句
} else {
    echo "请提供用户ID。";
}

$mysqli->close(); // 关闭数据库连接
?>