Question

我正在尝试更多地了解MySQL以及如何防止SQL注入，所以我的研究已经把我带到了准备好的陈述，这似乎是要走的路。

我也在努力学习如何编写存储过程，现在我正在尝试将两者结合起来。虽然没有太多信息。

目前在我的PHP测试应用程序中，我有一个函数，它使用正常的MySQL命令调用SP，如下所示：

mysql_query("CALL usp_inserturl('$longurl', '$short_url', '$source')");

我如何使用MySQLi和准备好的声明来尽可能安全地进行注射？

谢谢！

Answer 1

尝试以下方法：

$mysqli= new mysqli(... info ...); 
$query= "call YourSPWithParams(?,?,?)"; 
$stmt = $mysqli->prepare($query); 
$x = 1; $y = 10; $z = 14;
$stmt->bind_param("iii", $x, $y, $z); 
$stmt->execute();

Answer 2

您可能会找到以下使用答案：

MySql: Will using Prepared statements to call a stored procedure be any faster with .NET/Connector?

另外：

GRANT仅执行权限，因此您的应用程序级别用户只能CALL存储过程。这样，您的应用程序用户只能通过您的存储过程API与数据库交互，它们不能直接：

select, insert, delete, update, truncate, drop, describe, show etc.

没有那么安全。唯一的例外是如果你在存储过程中使用了动态sql，我会不惜一切代价避免使用它 - 或者至少要知道你这样做的危险。

构建数据库时，例如foo_db，我通常会创建两个用户。第一个foo_dbo（数据库所有者）是拥有数据库并被授予完全权限（ALL）的用户，因此他们可以根据需要创建模式对象和操作数据。第二个用户foo_usr（应用程序用户）仅被授予执行permisisons，并在我的应用程序代码中用于通过我创建的存储过程API访问数据库。

grant all on foo_db.* to foo_dbo@localhost identified by 'pass';

grant execute on foo_db.* to foo_usr@localhost identified by 'pass';

最后，您可以使用mysql_real_escape_string：

来改进上面的代码示例

http://php.net/manual/en/function.mysql-real-escape-string.php

$sqlCmd = sprintf("call usp_inserturl('%s','%s','%s')", 
 mysql_real_escape_string($longurl),  
 mysql_real_escape_string($shorturl), 
 mysql_real_escape_string($source));

$result = mysql_query($sqlCmd);

希望这会有所帮助：）

Answer 3

您可以同时使用它们：只需使用存储过程进行准备：

//prepare and bind SP's parameters with your variables only once
$stmt=$db->prepare("CALL MyStoredProc(?,?)");
$stmt->bind_param('is',$i,$name);

//then change binded variables and execute statement multiple times
for($i=1;$i<9;$i++)
{
  $name="Name".$i;
  $stmt->execute();
}

Answer 4

这个技巧有点棘手，但是我最终想出了如何既使用存储过程（使用IN参数）又使用PHP来检索数据的方法，该存储过程使用准备好的语句。此示例使用PHP 7.4.6和MySQL 8.0.21社区版。

这是存储过程：

CREATE DEFINER=`root`@`loalhost` PROCEDURE `SP_ADMIN_SEARCH_PLEDGORS`(
    IN P_email VARCHAR(60),
    IN P_password_hash VARCHAR(255),
    IN P_filter_field VARCHAR(80),
    IN P_filter_value VARCHAR(255)
)
BEGIN
    #Takes admin credentials (first tow paramaters and searches the pledgors_table where field name (P_filter_field) is LIKE value (%P_filter_value%))
    DECLARE V_admin_id INT(11);
    BEGIN
        GET DIAGNOSTICS CONDITION 1 @ERRNO = MYSQL_ERRNO, @MESSAGE_TEXT = MESSAGE_TEXT;
        SELECT 'ERROR' AS STATUS, CONCAT('MySQL ERROR: ', @ERRNO, ': ', @MESSAGE_TEXT) AS MESSAGE;
    END;
    SELECT admin_id INTO V_admin_id FROM admin_table WHERE password_hash = P_password_hash AND email = P_email;
    IF ISNULL(V_admin_id) = 0 THEN    
        SET @statement = CONCAT('SELECT pledgor_id, email, address, post_code, phone, alt_phone, contact_name
        FROM pledgors_table
        WHERE ',P_filter_field, ' LIKE \'%', P_filter_value, '%\';');
        PREPARE stmnt FROM @statement;
        EXECUTE stmnt;
    ELSE
        SELECT 'ERROR' AS STATUS, 'Bad admin credentials' AS MESSAGE;
    END IF;
END

这是PHP脚本

query = 'CALL SP_ADMIN_SEARCH_PLEDGORS(\''.
strtolower($email).'\', \''.
$password_hash.'\', \''.
$filter_field.'\', \''.
$filter_value.'\');';

$errNo = 0;
//$myLink is a mysqli connection
if(mysqli_query($myLink, $query)) {
    do {
        if($result = mysqli_store_result($myLink)) {
            while($row = mysqli_fetch_assoc($result)) {
                $data[] = $row;
            }
            mysqli_free_result($result);
        }
    } while(mysqli_next_result($myLink));
}
else {
    $errNo = mysqli_errno($myLink);
}
mysqli_close($myLink);

如何使用MySQLi准备语句与存储过程

4 个答案: