PHP 链接数据库

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

<?php





$link = mysqli_connect('localhost','test_php','test_php');
//var_dump( $link);


if (!$link ) {
    exit('数据库连接失败');
}
mysqli_set_charset($link, 'utf8');
mysqli_select_db($link, 'test_php');
//var_dump ( $link );

$SQL="select * from user";
$res = mysqli_query($link, $SQL);
//var_dump( $res );
if (! $res )
{
    exit('数据库了解失败--');

}
//处理结果集
//
$result = mysqli_fetch_assoc(  $res);
//打印
var_dump ( $result);
//关闭连接
mysqli_close( $link) ;

PHP 防止 sql 注入

防止SQL注入，我们需要注意以下几个要点：

  • 1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双"-“进行转换等。
  • 2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
  • 3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
  • 4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
  • 5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装

1、通过使用预编译语句（prepared statements）

  • 使用PDO对象（对于任何数据库驱动都好用）

2、参数化查询（parameterized queries）

  • 使用MySqli
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23



$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');

$stmt->execute(array('name' => $name));

foreach ($stmt as $row) {

　　// do something with $row

}



$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');

$stmt->bind_param('s', $name);

$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
// do something with $row
}
  • setcookie(k,v,timeout,path)
1
2
3

setcookie(k,'',time()-1, '/');
var_dump($_COOKIE);
// 打印 cookie