한국어
한국어
PHP 개발에서 데이터베이스 상호 작용은 피할 수없는 부분입니다. 많은 초보자와 일부 선임 개발자조차도 여전히 문자열 스 플라이 싱을 통해 SQL 문을 구축하는 데 익숙합니다. 이 방법은 간단하고 직관적이지만 안전, 유지 관리 및 성능 측면에서 숨겨진 위험이 많습니다. 이 기사는 mysqli :: stmt_init (또는보다 광범위하게 전처리 된 진술)를 사용하는 것이 더 안전하고 효율적인 선택 인 이유를 살펴보고 실제 사례를 결합하여 개발의 적용 가치를 보여줍니다.
전통적인 SQL 스티칭 방법은 일반적으로 다음과 같습니다.
$user_id = $_GET['id'];
$query = "SELECT * FROM users WHERE id = $user_id";
$result = mysqli_query($conn, $query);
$ user_id가 엄격하게 검증되고 필터링되지 않은 경우, 공격자는 1 또는 1 = 1 과 같은 입력을 쉽게 구성한 다음 데이터베이스에서 검증, 액세스 또는 민감한 데이터를 우회 할 수 있습니다. 이 공격 방법, 즉 SQL 주입은 가장 일반적이고 위험한 보안 취약점 중 하나입니다.
mysqli :: stmt_init을 사용하여 전처리 문을 작성하고 사용하면 SQL 주입을 효과적으로 방지 할 수 있습니다. 전처리 명령문은 SQL 문 구조를 매개 변수 데이터와 분리하고 매개 변수 데이터를 SQL 명령으로 구문 분석하지 않으므로 주입의 가능성을 근본적으로 제거합니다.
$conn = new mysqli("localhost", "user", "password", "database");
$stmt = $conn->stmt_init();
$stmt->prepare("SELECT * FROM users WHERE id = ?");
$stmt->bind_param("i", $user_id);
$user_id = $_GET['id'];
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
echo $row['username'] . "<br>";
}
이 예에서 ? 자리 표시 자, Bind_Param은 변수의 데이터 유형을 지정하고 변수 값을 바인딩합니다. 이 접근법은 안전 할뿐만 아니라 코드를 더 명확하게 만듭니다.
스 플라이 싱 SQL은 구문 수준에서 전처리 명세서보다 짧지 만, 전처리 문은 데이터베이스 실행 수준에서 실행 효율이 높아집니다.
SQL이 여러 번 실행되면 (예 : 루프에 여러 레코드를 삽입하는 등) 데이터베이스는 전처리 명령문을 컴파일하고 캐시하여 중복 컴파일 및 구문 분석 시간을 줄이고 전반적인 성능을 향상시킬 수 있습니다.
$stmt = $conn->stmt_init();
$stmt->prepare("INSERT INTO logs (message, created_at) VALUES (?, ?)");
$stmt->bind_param("ss", $message, $created_at);
foreach ($logs as $log) {
$message = $log['msg'];
$created_at = $log['time'];
$stmt->execute();
}
대조적으로, 스 플라이 싱 문을 사용하는 경우 데이터베이스는 매번 SQL을 재판장하고 컴파일하여 리소스를 낭비해야합니다.
프로젝트가 어느 정도 복잡하면 SQL 문에는 점점 더 많은 변수와 데이터 유형이 있습니다. STMT_INIT 및 지원 방법을 사용하면 매개 변수 바인딩 및 가변 분리가보다 직관적이며 디버깅 및 유지 보수에 더 편리 할 수 있습니다.
또한 전처리 문을 사용할 때 매개 변수 데이터 유형을 BIND_PARAM 으로 명시 적으로 전달해야하며, 이는 일치하지 않는 데이터 유형으로 인한 오류를 어느 정도까지 줄이고 코드의 견고성을 향상시킬 수 있습니다.
실제 프로젝트에서 URL은 매개 변수 입력의 기본 항목입니다.
https://m66.net/user.php?id=1
이 유형의 URL이 $ _get [ 'id']를 통해 SQL에 직접 스 플린트하는 경우 공격 지점이되기가 매우 쉽습니다. 전처리 명세서는 공격자가 유사한 것을 입력하더라도 다음과 같이 보장합니다.
https://m66.net/user.php?id=1 OR 1=1
시스템은 데이터베이스에 의해 SQL 명령으로 실행되지 않고도 전체 입력을 문자열 매개 변수로 올바르게 인식하여 시스템 보안을 기본적으로 보호 할 수 있습니다.
PHP 프로젝트 개발에서는 올바른 데이터베이스 상호 작용 방법을 선택하는 것이 시스템의 보안, 안정성 및 성능에 중요합니다. mysqli :: stmt_init 및 preprocessing 문은 처음에는 약간 번거로운 것처럼 보일 수 있지만, 그것이 가져 오는 보안 우위와 성능 개선은 심각한 개발 프로젝트에 없어서는 안될 보장입니다.
나중에 손실을 보충하는 대신, 처음부터 견고한 기초를 세우는 것이 좋습니다. SQL을 접합하고 전처리 진술을 포용하여 코드를보다 안전하고 효율적이며 신뢰할 수 있도록합니다.
