在php中使用mysqli安全執行sql查詢的核心是預處理語句，1.通過連接數據庫，2.準備帶占位符的sql語句，3.綁定參數防止sql注入，4.執行語句并檢查結果，5.關閉資源；若執行失敗常見原因包括sql語法錯誤、參數類型或數量不匹配、連接異常及權限問題；處理NULL值可通過三元運算符判斷或使用send_long_data方法；預處理語句雖可防止sql注入和部分攻擊如緩沖區溢出，但無法防御xss或csrf，還需配合輸入驗證、輸出編碼等其他安全措施。
直接說吧，安全執行SQL查詢，在PHP里用mysqli，核心就是用預處理語句，防止SQL注入。
預處理語句就像是先準備好一個模具，然后把具體的數據填進去，這樣數據就不會被當成SQL代碼來執行，而是純粹的數據。
解決方案 首先，你需要連接到數據庫。
<?php $servername = "localhost"; $username = "username"; $password = "password"; $dbname = "myDB"; // 創建連接 $conn = new mysqli($servername, $username, $password, $dbname); // 檢測連接 if ($conn->connect_error) { die("連接失敗: " . $conn->connect_error); } echo "連接成功"; ?>
然后，準備你的sql語句，注意用占位符 ? 代替直接插入的數據。
立即學習“PHP免費學習筆記（深入）”；
$sql = "INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)";
接下來，使用$conn->prepare()方法準備預處理語句。
$stmt = $conn->prepare($sql);
如果準備失敗，$conn->prepare()會返回false，你應該檢查并處理這種情況。
現在，你需要綁定參數。$stmt->bind_param() 方法用于綁定參數，第一個參數是一個字符串，表示參數的類型。s 代表 String, i 代表 Integer, d 代表 double, b 代表 blob。
$firstname = "John"; $lastname = "Doe"; $email = "john.doe@example.com"; $stmt->bind_param("sss", $firstname, $lastname, $email);
注意，參數的類型要和數據庫中的字段類型一致，否則可能會出錯。
執行預處理語句。
$stmt->execute();
執行后，檢查是否成功。
if ($stmt->affected_rows > 0) { echo "新記錄插入成功"; } else { echo "Error: " . $sql . "<br>" . $conn->error; }
最后，記得關閉statement和連接。
$stmt->close(); $conn->close();
如果需要查詢數據，也用類似的方法。
$sql = "SELECT id, firstname, lastname FROM MyGuests WHERE firstname = ?"; $stmt = $conn->prepare($sql); $firstname = "John"; $stmt->bind_param("s", $firstname); $stmt->execute(); $result = $stmt->get_result(); if ($result->num_rows > 0) { // 輸出數據 while($row = $result->fetch_assoc()) { echo "id: " . $row["id"]. " - Name: " . $row["firstname"]. " " . $row["lastname"]. "
"; } } else { echo "0 結果"; }
這里用了$stmt->get_result()來獲取結果集，你需要確保你的PHP版本支持這個方法。 如果不支持，可以使用$stmt->bind_result()和$stmt->fetch()來獲取數據，稍微麻煩一點。
為什么我的預處理語句執行總是失敗？
可能的原因有很多，但最常見的是以下幾種：
- SQL語法錯誤： 仔細檢查你的SQL語句，看看是否有拼寫錯誤、缺少引號、括號不匹配等問題。可以使用echo $sql; 打印SQL語句，然后在數據庫客戶端工具中執行，看看是否報錯。
- 參數類型不匹配： 確保bind_param()中指定的參數類型與數據庫字段的類型一致。例如，如果數據庫字段是整數類型，但你傳遞的是字符串類型，就會出錯。
- 參數數量不匹配： 確保bind_param()中指定的參數數量與SQL語句中占位符的數量一致。
- 數據庫連接錯誤： 檢查數據庫連接是否成功。可以使用$conn->connect_error 獲取連接錯誤信息。
- 權限問題： 確保你的數據庫用戶有足夠的權限執行SQL語句。
如果還是不行，可以嘗試開啟MySQL的錯誤日志，看看是否有更詳細的錯誤信息。
如何處理預處理語句中的NULL值？
處理NULL值稍微有點tricky。 你不能直接把NULL作為參數傳遞給bind_param()，因為bind_param()需要一個變量的引用。
一種方法是使用三元運算符：
$firstname = $_POST['firstname'] ?: NULL; // 如果 $_POST['firstname'] 為空，則 $firstname 為 NULL $lastname = $_POST['lastname'] ?: NULL; $email = $_POST['email']; $sql = "INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)"; $stmt = $conn->prepare($sql); if ($firstname === NULL && $lastname === NULL) { $stmt->bind_param("ss", $email); } elseif ($firstname === NULL) { $stmt->bind_param("ss", $lastname, $email); } elseif ($lastname === NULL) { $stmt->bind_param("ss", $firstname, $email); } else { $stmt->bind_param("sss", $firstname, $lastname, $email); } $stmt->execute();
這種方法比較繁瑣，需要根據不同的情況編寫不同的代碼。
另一種更簡潔的方法是使用mysqli_stmt::send_long_data()。
$firstname = $_POST['firstname']; $lastname = $_POST['lastname']; $email = $_POST['email']; $sql = "INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)"; $stmt = $conn->prepare($sql); $null = NULL; if ($firstname === "") { $stmt->bind_param("bss", $null, $lastname, $email); $stmt->send_long_data(0, null); } elseif ($lastname === "") { $stmt->bind_param("sbs", $firstname, $null, $email); $stmt->send_long_data(1, null); } else { $stmt->bind_param("sss", $firstname, $lastname, $email); } $stmt->execute();
這種方法需要將NULL值替換為空字符串，并在bind_param()中使用b類型，然后使用send_long_data()發送NULL值。
無論使用哪種方法，都要確保你的代碼能夠正確處理NULL值，避免出現意外的錯誤。
預處理語句還能防止其他類型的攻擊嗎？
雖然預處理語句主要用于防止SQL注入，但它也能在一定程度上防止其他類型的攻擊，例如：
- 緩沖區溢出： 預處理語句可以限制參數的長度，防止緩沖區溢出攻擊。
- 代碼注入： 預處理語句可以防止將惡意代碼注入到SQL語句中。
但是，預處理語句并不能完全防止所有類型的攻擊。例如，它不能防止跨站腳本攻擊（XSS）或跨站請求偽造（CSRF）。
為了更全面地保護你的應用程序，你需要采取其他安全措施，例如：
- 輸入驗證： 對所有用戶輸入進行驗證，確保輸入的數據符合預期格式和范圍。
- 輸出編碼： 對所有輸出到頁面的數據進行編碼，防止XSS攻擊。
- 使用安全的身份驗證和授權機制： 確保只有授權用戶才能訪問敏感數據和功能。
- 定期更新你的軟件： 及時更新你的PHP版本和MySQLi擴展，修復已知的安全漏洞。
總之，預處理語句是保護你的應用程序免受SQL注入攻擊的重要工具，但它不是唯一的解決方案。你需要采取多方面的安全措施，才能確保你的應用程序的安全性。
