FILTER_SANITIZE_EMAIL 是否足够，或者是否还需要 mysql_real_escape_string 来避免 PHP/MySQL 中的安全问题？

Question

我正在根据这样的数据库检查输入：

$email = $_POST['newsletter_email'];
$email = filter_var($email, FILTER_SANITIZE_EMAIL); 

然后：

$is_user = $db->count_rows('users', "WHERE email='" . $email . "'");

问题是，它是否足够好？还是我也应该使用mysql_real_escape_string？

Answer 1

这个问题有两个部分。

1. 如何验证电子邮件地址。
2. How to prevent SQL Injection。

输入验证

$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
if ($email !== false) {
    // Well, you've got yourself a valid email address!
}

防止 SQL 注入

不要使用mysql_real_escape_string()。 prevent SQL Injection 的正确方法是使用参数化查询。也称为准备好的语句。

推荐阅读：

• SQL injection that gets around mysql_real_escape_string()
• https://kraft.im/2015/05/how-emoji-saved-your-sites-hide/

您的代码应如下所示：

$stmt = $db->prepare('SELECT count(userid) FROM users WHERE email = ?');
if ($stmt->exec([ $email ])) {
    $is_user = $stmt->fetchColumn(0);
}

如果这对您来说太麻烦，您可以加载 EasyDB 库并让您的查询看起来像这样：

$is_user = $db->cell('SELECT count(userid) FROM users WHERE email = ?', $email);

请停止使用输入转义并采用准备好的语句。它们在单独的数据包中发送查询和参数，这意味着即使使用 Unicode hack，也无法更改查询结构。

重要

您必须正确使用准备好的语句（即永远不要将用户输入与传递给 prepare() 的查询字符串连接起来）以实现这种有保证的安全级别。

此外，在 PHP 中，一些驱动程序会默认模拟准备好的语句。来自PHP manual：

PDO::ATTR_EMULATE_PREPARES 启用或禁用准备语句的模拟。一些驱动程序不支持本机准备语句或对它们的支持有限。使用此设置可强制 PDO 始终模拟预准备语句（如果 TRUE），或尝试使用本机预准备语句（如果 FALSE）。如果驱动程序无法成功准备当前查询，它将始终回退到模拟准备好的语句。需要布尔值。

模拟的预准备语句不提供与真正的预准备语句相同的安全保证（即data/instruction separation）。为了安全起见，请禁用模拟准备。

$db = new PDO(/* etc */);
$db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

Answer 2

您是在“清理”而不是“验证”输入。仅仅因为您使用了FILTER_SANITIZE_EMAIL，并不意味着输入的是电子邮件地址。所以是的，在你的例子中mysql_real_escape_string() 将是一个明智的选择。

<?php

$email = filter_var($_POST['newsletter_email'], FILTER_SANITIZE_EMAIL);

// Validate the post data as an email address.
IF (filter_var($email, FILTER_VALIDATE_EMAIL)) {
  $cln_email = mysql_real_escape_string($email);
  $is_user = $db->count_rows('users', "WHERE email='" . $cln_email. "'");
}
?>