锐客网

  1. 首页 > 睿知 > it技术 > >

php屏蔽所有错误数据库 php屏蔽所有错误数据库( 四 )

IT技术旧版本


那么我们既然了解了基本的注射入侵的方式，那么我们如何去防范呢？这个就应该我们从代码去入手了 。
我们知道Web上提交数据有两种方式，一种是get、一种是post，那么很多常见的sql注射就是从get方式入手的，而且注射的语句里面一定是包含一些sql语句的，因为没有sql语句，那么如何进行，sql语句有四大句：select 、update、delete、insert，那么我们如果在我们提交的数据中进行过滤是不是能够避免这些问题呢？
于是我们使用正则就构建如下函数：
PHP代码
?php
function inject_check($sql_str)
{
return eregi('select|insert|update|delete|'|
function verify_id($id=null)
{
if (!$id) { exit('没有提交参数！'); } // 是否为空判断
elseif (inject_check($id)) { exit('提交的参数非法！'); } // 注射判断
elseif (!is_numeric($id)) { exit('提交的参数非法！'); } // 数字判断
$id = intval($id); // 整型化
return $id;
}
?
呵呵，那么我们就能够进行校验了，于是我们上面的程序代码就变成了下面的：
PHP代码
?php
if (inject_check($_GET['id']))
{
exit('你提交的数据非法，请检查后重新提交！');
}
else
{
$id = verify_id($_GET['id']); // 这里引用了我们的过滤函数，对$id进行过滤
echo '提交的数据合法，请继续！';
}
?
好，问题到这里似乎都解决了 ， 但是我们有没有考虑过post提交的数据，大批量的数据呢？
比如一些字符可能会对数据库造成危害，比如 ' _ ', ' %'，这些字符都有特殊意义，那么我们如果进行控制呢？还有一点，就是当我们的php.ini里面的magic_quotes_gpc = off的时候 ， 那么提交的不符合数据库规则的数据都是不会自动在前面加' '的，那么我们要控制这些问题，于是构建如下函数：
PHP代码
?php
function str_check( $str )
{
if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否打开
{
$str = addslashes($str); // 进行过滤
}
$str = str_replace("_", "\_", $str); // 把 '_'过滤掉
$str = str_replace("%", "\%", $str); // 把' % '过滤掉
return $str;
}
?
我们又一次的避免了服务器被沦陷的危险 。
最后，再考虑提交一些大批量数据的情况，比如发贴 ， 或者写文章、新闻 ， 我们需要一些函数来帮我们过滤和进行转换，再上面函数的基础上 ， 我们构建如下函数：
PHP代码
?php
function post_check($post)
{
if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否为打开
{
$post = addslashes($post); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤
}
$post = str_replace("_", "\_", $post); // 把 '_'过滤掉
$post = str_replace("%", "\%", $post); // 把' % '过滤掉
$post = nl2br($post); // 回车转换
$post= htmlspecialchars($post); // html标记转换
return $post;
}
?
呵呵，基本到这里，我们把一些情况都说了一遍，其实我觉得自己讲的东西还很少，至少我才只讲了两方面 ， 再整个安全中是很少的内容了 ， 考虑下一次讲更多 ， 包括php安全配置，apache安全等等 ， 让我们的安全正的是一个整体，作到最安全 。
最后在告诉你上面表达的：1. 初始化你的变量 2. 一定记得要过滤你的变量
php怎么屏蔽warning诸如下面这些错误的提示：Warning: file_get_contents(/usr/local/tads/htdocs/XXXXXX/src/cache/countLoginnum.txt) [function.file-get-contents]: failed to open stream: No such file or directory in/usr/local/tads/htdocs/XXXXXXX/src/controllers/defaultController.php on line 43Warning: Cannot modify header information - headers already sent by (output started at /usr/local/tads/htdocs/XXXXXX/src/config/env.php:5) in/usr/local/taesdk/1.0/phplib3/src/base/core/TMWebResponse.class.php on line 332有的时候代码的警告会导致整个项目无法运行，比如某个变量无对象的情况，若无影响，这时如果屏蔽警告，就可以使整个项目恢复正常运行 。当然它的作用不在于这，而是在成品网站或做服务器时，不输出错误信息可以减少被黑客攻击的风险（对于一些容易出错并且容易暴漏敏感数据的代码，一般多在数据库这块吧），也能在出错的情况下仍保持网站的美观 。至于在调试下 ， 那这个错误提示信息还是比较有用的，可以在PHP页面最前边加上一句: error_reporting(E_ALL~E_NOTICE);让出错时显示错误信息 。屏蔽的方法：

推荐阅读


上一篇：sqlserver表误删，sql server表数据删除怎么恢复

下一篇：区块链跨境汇款利弊，区块链跨境汇款利弊论文