編輯“ThinkPHP開發(fā)指南-安全-防止SQL注入”

<span style="border:1px solid #000; float:right; text-align:center; padding:6px;"><strong>導航：</strong>[[ThinkPHP使用手冊|返回上一頁]]</span>
<div style="clear:both;"></div>

對于[[WEB]]應用來說，[[SQL]]注入攻擊無疑是首要防范的安全問題，系統(tǒng)底層對于數(shù)據(jù)安全方面本身進行了很多的處理和相應的防范機制，

'''例如'''：[[PHP]]代碼
<pre>
$User = M("User"); // 實例化User對象    

$User->find($_GET["id"]);    
</pre>
即便用戶輸入了一些惡意的id參數(shù)，系統(tǒng)也會自動加上引號避免惡意注入。事實上，[[ThinkPHP]]對所有的數(shù)據(jù)庫CURD的數(shù)據(jù)都會進行escape_string處理。通常的安全隱患在于你的查詢條件使用了字符串參數(shù)，然后其中一些變量又依賴由客戶端的用戶輸入，要有效的防止SQL注入問題，我們建議：

*查詢條件盡量使用數(shù)組方式，這是更為安全的方式；
*開啟數(shù)據(jù)字段類型驗證，可以對數(shù)值數(shù)據(jù)類型做強制轉換；
*使用自動驗證和自動完成機制進行針對應用的自定義過濾；

字段類型檢查、自動驗證和自動完成機制我們在模型部分已經(jīng)有詳細的描述，


[[category:ThinkPHP]]