中文(繁體)
中文(繁體)
在PHP 的Web 開發中，SQL 注入（SQL Injection）是一種常見且危險的安全威脅。為了有效防止SQL 注入，除了使用預處理語句（prepared statements）、參數綁定等方法外，確保數據庫連接使用的字符集正確也是一個重要環節。本文將重點介紹mysqli::get_charset函數的用法，以及它在防止SQL 注入中的作用。
mysqli::get_charset是PHP mysqli擴展提供的一個方法，用於獲取當前數據庫連接的字符集信息。它返回一個包含字符集屬性的對象，例如字符集名稱、編碼等。
字符集在數據庫安全中扮演重要角色，因為如果字符集設置不當，攻擊者可能利用編碼差異繞過輸入驗證或構造特殊注入載荷。
例如，MySQL 默認使用latin1編碼，如果客戶端提交的是utf8數據，但服務器用latin1解析，就有可能出現意料之外的字符截斷或轉義，從而導致SQL 注入。
讓我們先看一個基本示例：
<?php
$mysqli = new mysqli("localhost", "user", "password", "database");
// 檢查連接是否成功
if ($mysqli->connect_errno) {
die("連接失敗: " . $mysqli->connect_error);
}
// 獲取字符集信息
$charsetInfo = $mysqli->get_charset();
echo "當前連接使用的字符集: " . $charsetInfo->charset;
?>
這個腳本會輸出當前數據庫連接的字符集，例如utf8mb4 。確保使用utf8mb4而不是utf8是一個好習慣，因為utf8在MySQL 中實際上是一個三字節編碼，不支持所有Unicode 字符，而utf8mb4才是完整的四字節UTF-8 編碼。
字符集影響著服務器如何理解並處理客戶端發送的數據。如果數據庫連接使用latin1 ，但輸入數據包含多字節字符，某些字節序列可能被誤解為SQL 控製字符（如單引號、分號），從而引發SQL 注入。
通過在程序中使用get_charset檢查連接是否為安全字符集（推薦utf8mb4 ），可以顯著降低編碼不匹配帶來的攻擊風險。
以下代碼展示了一個完整的場景：
<?php
$mysqli = new mysqli("localhost", "user", "password", "database");
// 檢查連接
if ($mysqli->connect_errno) {
die("連接失敗: " . $mysqli->connect_error);
}
// 檢查字符集
$charsetInfo = $mysqli->get_charset();
if ($charsetInfo->charset !== 'utf8mb4') {
// 強制設置為 utf8mb4
if (!$mysqli->set_charset("utf8mb4")) {
die("無法設置字符集: " . $mysqli->error);
}
echo "字符集已更新為 utf8mb4\n";
} else {
echo "當前字符集為 utf8mb4\n";
}
// 使用預處理語句防止注入
$stmt = $mysqli->prepare("SELECT * FROM users WHERE email = ?");
if (!$stmt) {
die("預處理失敗: " . $mysqli->error);
}
// 模擬從用戶輸入獲取的值
$userInput = $_GET['email'] ?? '';
// 綁定參數並執行
$stmt->bind_param("s", $userInput);
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
echo "使用者名稱: " . htmlspecialchars($row['username']) . "\n";
}
$stmt->close();
$mysqli->close();
?>
在這個例子中，我們不僅用get_charset檢查字符集，還使用set_charset確保連接安全。接著，我們用預處理語句和參數綁定避免了拼接SQL 字符串，從而有效防止SQL 注入。
