当前位置：在网站制作的过程中，伴随时间的积累，数据库的数据量愈加大，可以说，一个网站非常重要的部分就是数据，一旦数据泄漏，会对公司导致很难想像的影响，所以数据的安全行至关要紧。任何一个网站都有一个后台，便捷对整个网站进行管理。后台总是有一个登录系统，这个登录系统，就大概通过一些办法直接验证通过从而进入你的后台，致使大家网站数据泄漏。今天就给大伙介绍一些办法，预防这样的情况发生。具体操作如下：第一大家来看产生结果是什么原因。当一个变量从表单传入到php，需要查看mysql的话，需要进行处置。举例：$unsafe|variable = $|POST[user|input];mysqli|query(INSERT INTO table (column) VALUES ( . $unsafe|variable . ));用户可以输入诸如 ： value); DROp TABLE table; ,SQL语句就变成如此了:INSERT INTO table (column) VALUES(value); DROP TABLE table;)实行的结果就是table表被删掉了。这是一种容易见到的sql注入办法，那样在程序中，应该如何预防呢?办法1、mysql|real|escape|string()因为addslashes()不测试字符集，所以有宽字节注入风险，所以php中添加了这个函数。这个函数本来是mysql的扩展，但因为存在宽字节的问题，php基于mysql的扩展开发了此函数。mysql|real|escape|chars()是mysql|escape|chars()的替代使用方法。与addslashes()相比，不只会将\ NOL(ascii的0)转义，还会把\r \n进行转义。同时会测试数据编码。按php官方的描述，此函数可以安全的用于mysql。办法2、预处置查看 (Prepared Statements)a. 先预发送一个sql模板过去b. 再向mysql发送需要查看的参数就仿佛填空题一样，不管参数如何注入，mysql都能了解这是变量，不会做语义分析，起到防注入的成效，这是在mysql中完成的。A.用mysqli:prepare()达成$mysqli = new mysqli(example.com, user, password, database);$stmt = $mysqliprepare(SELECT id, label FROM test WHERe id = ?);$stmtbind|param(1, $city);$stmtexecute();$res = $stmtget|result();$row = $resfetch|assoc();B. 用pdo达成pdo是一个php官方推荐的数据库抽象层，提供了不少好用的工具。用pdo的预处置参数化查看可以有效预防sql注入。用法跟上面差不多，不同在于pdo提供了更多样的办法。用这个pdo$stmt对象进行查看后，会被结果集覆盖，种类是一个二维数组。
