在PHP中避免SQL注入

Question

我已经阅读了有关db注入的内容，直到我眼睛发红，论坛搜索，错过搜索搜索....所以一个彻头彻尾的问题。我正在使用jquery/ajax。

var characterReg = /^([0-9a-zA-NP-Z]{27,34})$/; 

仅用于基本格式验证。这是传递给PHP。在数据库查询中使用结果安全吗？我不是在寻找实际的比特币地址验证只是基本格式。

<?php 
include('myConnect.php'); 
$expire = time() + 60 * 60 * 24 * 30; 
$path = '/'; 
if (isset($address)) { 
    // Query db if address exsists. 
    $data = mysql_query("SELECT * FROM viewers WHERE address = '$address'"); 
    $info = mysql_fetch_array($data); 
    if ($info) { 
     // Build cookie data from db row array. 
     $bitAdrr = $info['address']; 
     $id = $info['id']; 
     $earn = $info['earnings']; 
     $track = $info['tracking']; 
     setcookie('user', $bitAdrr . ',' . $id . ',' . $earn . ',' . $track, $expire); 
    } else { 
     echo 'empty'; 
    } 
} 
?> 

myConnect.php

<?php 
$addr = $_GET['address']; 
// Verify address is correct format. 
if (strlen($addr) > 26 && strlen($addr) < 35 && !preg_match('/[^A-NP-Za-z0-9]/', $addr)) { 
    $server = 'mysql.myHost.com'; 
    $user = 'myUserName'; 
    $pass = 'myPassWord'; 
    $db  = 'myDataBase'; 
    // Connect to Database 
    $connection = mysql_connect($server, $user, $pass) or die("Could not connect to server. \n" . mysql_error()); 
    mysql_select_db($db) or die("Could not connect to database. \n" . mysql_error()); 
    $address = $addr; 
} else { 
    exit; 
} 
?> 

可能打针？ mysql_real_escape_string（用htmlspecialchars似乎是很慢的。我宁愿不要。

Answer 1

最好的答案就是使用prepared statements，让数据库引擎担心正确转义。

全部细节都在PHP手动的，但是细节上，你首先通过提供问号占位符声明的变量的模板准备：

$stmt = $mysqli->prepare("SELECT * FROM viewers WHERE address = ?") 

您可以提供的参数来代替：

$stmt->bind_param("s", $address) 

然后终于执行：

$stmt->execute(); 

其他方面需要注意的是，它看起来就像你正在试图做在客户端（在JavaScript）的验证，而不是在服务器端（在PHP中）。这并不安全，因为您无法验证所有请求是否来自网页上运行的代码;由于代码在我的浏览器中运行，我可以简单地选择不运行它，并使用我喜欢的任何地址值直接向您的服务器发送请求。始终在服务器端实施数据验证。