SELECT * FROM tbl_users WHERE userid=1001 AND password = 'abc123' LIMIT 0,1
如果攻击者在 userid 处，输入：1001 OR 1 =1 #，则注入的sql语句如下：
SELECT * FROM tbl_users WHERE userid=1001 OR 1 =1 # AND password = 'abc123' LIMIT 0,1
攻击者达到了目的。
三. 如何防止 PHP SQL 注入攻击
如何防止 php sql 注入攻击？我认为最重要的一点，就是要对数据类型进行检查和转义。总结的几点规则如下：
php.ini 中的 display_errors 选项，应该设为 display_errors = off。这样 php 脚本出错之后，不会在 web 页面输出错误，以免让攻击者分析出有作的信息。
调用 mysql_query 等 mysql 函数时，前面应该加上 @，即 @mysql_query(...)，这样 mysql 错误不会被输出。同理以免让攻击者分析出有用的信息。另外，有些程序员在做开发时，当 mysql_query出错时，习惯输出错误以及 sql 语句，例如：
$t_strSQL = "SELECT a from b....";
if ( mysql_query($t_strSQL) )
{
// 正确的处理
}
else
{
echo "错误! SQL 语句：$t_strSQL rn错误信息".mysql_query();
exit;
}
这种做法是相当危险和愚蠢的。如果一定要这么做，最好在网站的配置文件中，设一个全局变量或定义一个宏，设一下 debug 标志：
全局配置文件中：
define("DEBUG_MODE",0); // 1: DEBUG MODE; 0: RELEASE MODE
//调用脚本中：
$t_strSQL = "SELECT a from b....";
if ( mysql_query($t_strSQL) )
{
// 正确的处理
}
else
{
if (DEBUG_MODE)
echo "错误! SQL 语句：$t_strSQL rn错误信息".mysql_query();
exit;
}
对提交的 sql 语句，进行转义和类型检查。
四. 我写的一个安全参数获取函数
为了防止用户的错误数据和 php + mysql 注入 ，我写了一个函数 PAPI_GetSafeParam()，用来获取安全的参数值：
define("XH_PARAM_INT",0);
define("XH_PARAM_TXT",1);
function PAPI_GetSafeParam($pi_strName, $pi_Def = "", $pi_iType = XH_PARAM_TXT)
{
if ( isset($_GET[$pi_strName]) )
$t_Val = trim($_GET[$pi_strName]);
else if ( isset($_POST[$pi_strName]))
$t_Val = trim($_POST[$pi_strName]);
else
return $pi_Def;
// INT
if ( XH_PARAM_INT == $pi_iType)
{
if (is_numeric($t_Val))
return $t_Val;
else
return $pi_Def;
}
// String
$t_Val = str_replace("&", "&",$t_Val);
$t_Val = str_replace("<", "<",$t_Val);
$t_Val = str_replace(">", ">",$t_Val);
if ( get_magic_quotes_gpc() )
{
$t_Val = str_replace(""", """,$t_Val);
$t_Val = str_replace("''", "'",$t_Val);
}
else
{
$t_Val = str_replace(""", """,$t_Val);
$t_Val = str_replace("'", "'",$t_Val);
}
return $t_Val;
}
在这个函数中，有三个参数：
