php参数化查询,参数化查询为什么能够防止SQL注入？

关于“php_sql参数化”的问题，小编就整理了【3】个相关介绍“php_sql参数化”的解答：

一、为什么会有SQL注入

是用户输入的内容在服务器中能够被拼接查询，从而输出恶意用户期望的内容，那么要防止SQL注入，就是阻止恶意用户输入的恶意信息被数据库执行并且输出。

1. 对于数字型注入，不需要单引号个的情况下

可以将payload跟在参数后边，不受过滤和转义的影响

$id=$_POST['id']；

$sql = select username from users where id= $id union select database();

2. 宽字节注入（但是要使用gbk编码）

在使用gbk编码时，系统会认为两个字符是一个汉字的编码（前一个字符必须大于128）。

输入%df%27时首先经过上面提到的单引号转义变成了%df%5c%27（%5c是反斜杠\），之后在数据库查询前由于使用了GBK多字节编码，即在汉字编码范围内两个字节会被编码为一个汉字。然后MySQL服务器会对查询语句进行GBK编码即%df%5c转换成了汉字“運”，而单引号逃逸了出来

3. 使用编码的形式

查询的数据在经过webserver时会被解码一次

id=1%2527 --->webserver --> id=1%27 --> urldecode--> 1'

这样写没有问题的，是不是你传参数错了，输出语句看看$sql="SELECT*FROM表名字WHERE字段1=aand字段2=b";echo$sql;mysql_query($sql,$con);

工具栏上点击倒数第二个按钮，弹出Parameter list框，点击【new】按钮，弹出【NewParam】，改为要参数化的内容，如usernamedb，点击一下回车，在点击Data Wizard按钮。

默认选择Specify SQL statement menu，点击下一步按钮，弹出。

点击【Create】按钮，默认是文件数据源，切换到机器数据源，

点击【新建】按钮，弹出创建新数据源对话框。

选择【系统数据源】，点击【下一步】按钮，弹出。

到此，以上就是小编对于“php_sql参数化”的问题就介绍到这了，希望介绍关于“php_sql参数化”的【3】点解答对大家有用。