在php中使用mysqli安全执行sql查询的核心是预处理语句，1.通过连接数据库，2.准备带占位符的sql语句，3.绑定参数防止sql注入，4.执行语句并检查结果，5.关闭资源；若执行失败常见原因包括sql语法错误、参数类型或数量不匹配、连接异常及权限问题；处理null值可通过三元运算符判断或使用send_long_data方法；预处理语句虽可防止sql注入和部分攻击如缓冲区溢出，但无法防御xss或csrf，还需配合输入验证、输出编码等其他安全措施。
直接说吧，安全执行SQL查询，在PHP里用MySQLi，核心就是用预处理语句，防止SQL注入。
预处理语句就像是先准备好一个模具，然后把具体的数据填进去，这样数据就不会被当成SQL代码来执行，而是纯粹的数据。
解决方案首先，你需要连接到数据库。
connect_error) { die("连接失败: " . $conn->connect_error);}echo "连接成功";?>
然后，准备你的SQL语句，注意用占位符 ? 代替直接插入的数据。
立即学习“PHP免费学习笔记（深入）”；
$sql = "INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)";
接下来，使用$conn->prepare()方法准备预处理语句。
$stmt = $conn->prepare($sql);
如果准备失败，$conn->prepare()会返回false，你应该检查并处理这种情况。
现在，你需要绑定参数。$stmt->bind_param() 方法用于绑定参数，第一个参数是一个字符串，表示参数的类型。s 代表 string, i 代表 integer, d 代表 double, b 代表 blob。
$firstname = "John";$lastname = "Doe";$email = "john.doe@example.com";$stmt->bind_param("sss", $firstname, $lastname, $email);
注意，参数的类型要和数据库中的字段类型一致，否则可能会出错。
执行预处理语句。
$stmt->execute();
执行后，检查是否成功。
if ($stmt->affected_rows > 0) { echo "新记录插入成功";} else { echo "Error: " . $sql . "
" . $conn->error;}
最后，记得关闭statement和连接。
$stmt->close();$conn->close();
如果需要查询数据，也用类似的方法。
$sql = "SELECT id, firstname, lastname FROM MyGuests WHERE firstname = ?";$stmt = $conn->prepare($sql);$firstname = "John";$stmt->bind_param("s", $firstname);$stmt->execute();$result = $stmt->get_result();if ($result->num_rows > 0) { // 输出数据 while($row = $result->fetch_assoc()) { echo "id: " . $row["id"]. " - Name: " . $row["firstname"]. " " . $row["lastname"]. "
"; }} else { echo "0 结果";}
这里用了$stmt->get_result()来获取结果集，你需要确保你的PHP版本支持这个方法。 如果不支持，可以使用$stmt->bind_result()和$stmt->fetch()来获取数据，稍微麻烦一点。
为什么我的预处理语句执行总是失败？
可能的原因有很多，但最常见的是以下几种：
SQL语法错误： 仔细检查你的SQL语句，看看是否有拼写错误、缺少引号、括号不匹配等问题。可以使用echo $sql; 打印SQL语句，然后在数据库客户端工具中执行，看看是否报错。参数类型不匹配： 确保bind_param()中指定的参数类型与数据库字段的类型一致。例如，如果数据库字段是整数类型，但你传递的是字符串类型，就会出错。参数数量不匹配： 确保bind_param()中指定的参数数量与SQL语句中占位符的数量一致。数据库连接错误： 检查数据库连接是否成功。可以使用$conn->connect_error 获取连接错误信息。权限问题： 确保你的数据库用户有足够的权限执行SQL语句。
如果还是不行，可以尝试开启MySQL的错误日志，看看是否有更详细的错误信息。
如何处理预处理语句中的NULL值？
处理NULL值稍微有点tricky。 你不能直接把NULL作为参数传递给bind_param()，因为bind_param()需要一个变量的引用。
一种方法是使用三元运算符：
$firstname = $_POST['firstname'] ?: NULL; // 如果 $_POST['firstname'] 为空，则 $firstname 为 NULL$lastname = $_POST['lastname'] ?: NULL;$email = $_POST['email'];$sql = "INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)";$stmt = $conn->prepare($sql);if ($firstname === NULL && $lastname === NULL) { $stmt->bind_param("ss", $email);} elseif ($firstname === NULL) { $stmt->bind_param("ss", $lastname, $email);} elseif ($lastname === NULL) { $stmt->bind_param("ss", $firstname, $email);}else { $stmt->bind_param("sss", $firstname, $lastname, $email);}$stmt->execute();
这种方法比较繁琐，需要根据不同的情况编写不同的代码。
另一种更简洁的方法是使用mysqli_stmt::send_long_data()。
$firstname = $_POST['firstname'];$lastname = $_POST['lastname'];$email = $_POST['email'];$sql = "INSERT INTO MyGuests (firstname, lastname, email) VALUES (?, ?, ?)";$stmt = $conn->prepare($sql);$null = NULL;if ($firstname === "") { $stmt->bind_param("bss", $null, $lastname, $email); $stmt->send_long_data(0, null);} elseif ($lastname === "") { $stmt->bind_param("sbs", $firstname, $null, $email); $stmt->send_long_data(1, null);} else { $stmt->bind_param("sss", $firstname, $lastname, $email);}$stmt->execute();
这种方法需要将NULL值替换为空字符串，并在bind_param()中使用b类型，然后使用send_long_data()发送NULL值。
无论使用哪种方法，都要确保你的代码能够正确处理NULL值，避免出现意外的错误。
预处理语句还能防止其他类型的攻击吗？
虽然预处理语句主要用于防止SQL注入，但它也能在一定程度上防止其他类型的攻击，例如：
缓冲区溢出： 预处理语句可以限制参数的长度，防止缓冲区溢出攻击。代码注入： 预处理语句可以防止将恶意代码注入到SQL语句中。
但是，预处理语句并不能完全防止所有类型的攻击。例如，它不能防止跨站脚本攻击（XSS）或跨站请求伪造（CSRF）。
为了更全面地保护你的应用程序，你需要采取其他安全措施，例如：
输入验证： 对所有用户输入进行验证，确保输入的数据符合预期格式和范围。输出编码： 对所有输出到页面的数据进行编码，防止XSS攻击。使用安全的身份验证和授权机制： 确保只有授权用户才能访问敏感数据和功能。定期更新你的软件： 及时更新你的PHP版本和MySQLi扩展，修复已知的安全漏洞。
总之，预处理语句是保护你的应用程序免受SQL注入攻击的重要工具，但它不是唯一的解决方案。你需要采取多方面的安全措施，才能确保你的应用程序的安全性。
以上就是PHP中的MySQLi：如何安全执行SQL查询的详细内容，更多请关注php中文网其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/1261328.html
微信扫一扫 
支付宝扫一扫 
