PHP addslashes 防 SQL 注入的安全隐患与正确做法

SQL 注入的风险与 addslashes 的局限

SQL 注入是黑客攻击网站最常见的手段之一。攻击者通过在用户输入中插入恶意 SQL 语句，可能导致数据库记录被暴露、修改或删除。为了防止此类攻击，许多开发者倾向于使用 PHP 内置的过滤函数进行初步处理。

虽然 addslashes() 能在字符串中的单引号、双引号等字符前自动添加反斜杠，但它并非通用的解决方案。特别是在处理中文或多字节字符集（如 GBK）时，addslashes 无法成功拦截经过精心构造的攻击向量，这就是所谓的“GPC 攻击”或“宽字节注入”。

GPC 攻击原理：为什么 addslashes 会失效？

addslashes 的问题在于它只负责转义特定字符，而不考虑字符集编码。黑客可以利用这一缺陷，使用十六进制代码 0xbf27 来代替单引号（'）。

当数据进入系统时：
1. addslashes 将 0xbf27 修改为 0xbf5c27。
2. 这使得 0xbf5c27 成为一个有效的多字节字符。
3. 其中 0xbf5c 部分会被数据库解释为一个合法的汉字字符（例如 "過"），而剩余的 27（即单引号）则被保留下来。

最终，攻击者成功闭合了原始的 SQL 语句，插入了恶意命令。因此，单纯依赖 addslashes 无法有效阻断此类基于多字节字符集的 SQL 注入攻击。

主要转义函数的区别与选择

除了 addslashes，PHP 还提供了其他数据库相关的转义函数，它们在处理机制上存在显著差异：

• addslashes()：强行对所有指定字符添加反斜杠。它是通用字符串处理函数，但不考虑数据库连接的当前字符集，因此在处理中文等非 ASCII 字符时容易出错。
• mysql_real_escape_string()：考虑到连接的当前字符集，能更安全地转义特殊字符。但它的可用性受限于 PHP 版本，要求在 PHP 4 >= 4.3.0 或 PHP 5 及以上环境中使用。这是比 addslashes 更推荐的数据库相关转义方式。
• mysql_escape_string()：与上述函数类似，但不考虑连接的当前字符集。由于缺乏字符集感知能力，它也存在安全隐患，通常不建议在现代开发中使用。

注意：随着 PHP 版本的更新，mysql_real_escape_string 等以 mysql_ 开头的函数已被标记为废弃。现代 PHP 开发应转向 mysqli 或 PDO 扩展。

正确的防护策略：从源头解决

尽管许多遗留系统或某些框架（如早期的 Discuz!）仍在使用 addslashes 结合其他清理函数（如 dthmlspecialchars 中的正则替换）来缓解问题，但最佳实践是从数据库交互层面彻底解决。

推荐方案一：使用参数化查询（Prepared Statements）

这是防止 SQL 注入最根本、最有效的方法。通过预编译语句，将 SQL 逻辑与数据分离，数据库驱动会自动处理数据的转义和安全检查。无论是使用 PDO 还是 mysqli，都应优先采用此方式：

// 示例：PDO 参数化查询
$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
$stmt->execute(['email' => $inputEmail]);

推荐方案二：严格的数据类型校验

对于整数 ID 或其他数值型参数，不应将其作为字符串传递给数据库，而是应在接收端明确进行类型转换或验证：

$id = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT);
if ($id !== false) {
    // 执行查询
}

推荐方案三：升级至安全的数据库扩展

如果必须使用字符串转义函数，请确保使用 mysqli_real_escape_string() 或 PDO::quote()，并确保数据库连接建立时设置了正确的字符集（如 SET NAMES utf8mb4），以避免宽字节注入风险。

总结

addslashes 因其忽略字符集的特性，在多字节环境下存在已知漏洞，不能单独作为防范 SQL 注入的手段。开发者应摒弃对 Magic Quotes（magic_quotes_gpc）的依赖，转而采用参数化查询和严格的数据类型校验。从数据库操作的源头进行安全防护，才是构建健壮 Web 应用的关键。

以上就是 PHP addslashes 及其他清除空格方法安全性分析的详细内容，更多关于 PHP 安全防护的资料请关注本站其它相关文章！