PHP函数addslashes与mysql_real_escape_string区别分析

2. CREATE TABLE users(
3. username VARCHAR(32) CHARACTER SET GBK,
4. password VARCHAR(32) CHARACTER SET GBK,
5. PRIMARY KEY(username)
6. );

复制代码

例子，模拟只使用addslashes（或magic_quotes_gpc）对查询数据进行转义时的情况：

2. $mysql = array();
3. $db = mysqli_init();
4. $db->real_connect('localhost', 'lorui', 'lorui.com', 'lorui_db');
5. /* SQL注入示例 */
6. $_POST['username'] = chr(0xbf) . chr(0×27) . ‘ OR username = username /*'; $_POST['password'] = ‘guess'; $mysql['username'] = addslashes($_POST['username']); $mysql['password'] = addslashes($_POST['password']); $sql = “SELECT * FROM users WHERE username = ‘{$mysql['username']}' AND password = ‘{$mysql['password']}'”; $result = $db->query($sql); if ($result->num_rows) { /* 成功 */ } else { /* 失败 */ }

复制代码

尽管使用了addslashes，还是可以在不知道用户名和密码的情况下成功登录。 可以轻松的利用这个漏洞进行SQL注入。 避免这种漏洞，使用mysql_real_escape_string、准备语句（Prepared Statements，即“参数化查询”）或任意一款主流的数据库抽象类库。