stmt_init 在防止SQL 注入中的作用與價值

M66 2025-06-02

mysqli::stmt_init是PHP MySQLi 擴展中的一個方法，它用於初始化一個準備好的語句（prepared statement）。準備好的語句是一種用於執行SQL 查詢的機制，它能夠將SQL 查詢與用戶輸入的變量分開處理，從而有效避免了SQL 注入攻擊。通過該方法，開發者可以先創建一個空的語句對象，並在後續操作中綁定參數並執行。

防止SQL 注入攻擊的原理

SQL 注入攻擊的原理是攻擊者將惡意的SQL 代碼注入到用戶輸入的字段（如登錄表單的用戶名、密碼等），並通過不當的方式直接拼接到SQL 查詢中。這樣，攻擊者就可以修改原本的SQL 語句，從而執行惡意操作。為了避免這種情況，MySQLi 提供了預處理語句（prepared statements）和綁定參數的功能。

在mysqli::stmt_init的幫助下，開發者可以通過以下幾個步驟，避免SQL 注入：

分離查詢結構與數據： mysqli::stmt_init用於初始化一個SQL 查詢模板，其中查詢的結構是固定的，而實際的輸入數據則通過參數綁定的方式傳遞給數據庫。這意味著用戶輸入的任何數據都不會直接與SQL 語句拼接在一起，而是作為參數傳遞給數據庫。
綁定參數：通過bind_param方法，開發者可以將用戶的輸入綁定到SQL 查詢的參數上。這些輸入數據會被MySQL 服務器處理並轉義，以確保它們不會被執行為SQL 代碼。例如，字符串會被自動加上引號，數字則會被適當處理。這樣，即使用戶輸入了惡意的SQL 代碼，也不能影響到查詢的執行。
執行查詢：在綁定了所有的參數後，查詢才會執行，這樣即使用戶輸入了包含SQL 注入代碼的字符串，整個查詢語句也不會被篡改，確保了數據的安全性。

如何通過mysqli::stmt_init提高查詢安全性？

通過mysqli::stmt_init和預處理語句，我們可以從根本上減少SQL 注入攻擊的風險。以下是如何實現這一點的步驟：

初始化語句：使用mysqli::stmt_init創建一個空的預處理語句對象。

 $conn = new mysqli('localhost', 'username', 'password', 'database');
$stmt = $conn->stmt_init();

準備SQL 查詢：使用prepare方法來創建一個準備好的SQL 語句模板。注意，SQL 查詢中的用戶輸入部分使用佔位符（例如? ）來代替。
```
 $sql = "SELECT * FROM users WHERE username = ? AND password = ?";
if ($stmt->prepare($sql)) {
    // 進一步操作
}
```
綁定參數：使用bind_param方法將用戶輸入的值與SQL 查詢模板中的佔位符綁定。該方法的第二個參數表示參數的類型，如s代表字符串， i代表整數等。
```
 $stmt->bind_param('ss', $username, $password);
```
執行查詢：最後，通過execute方法執行綁定了參數的SQL 查詢。
```
 $stmt->execute();
```

通過這種方式，SQL 查詢中的用戶輸入將始終被視為數據而非SQL 代碼，從而避免了SQL 注入攻擊的發生。

示例代碼：登錄驗證

以下是一個實際示例，演示如何使用mysqli::stmt_init防止SQL 注入：

 <?php
$conn = new mysqli('localhost', 'username', 'password', 'database');

// 檢查連接是否成功
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// 獲取用戶輸入
$username = $_POST['username'];
$password = $_POST['password'];

// 初始化預處理語句
$stmt = $conn->stmt_init();

if ($stmt->prepare("SELECT * FROM users WHERE username = ? AND password = ?")) {
    // 綁定參數
    $stmt->bind_param('ss', $username, $password);

    // 執行查詢
    $stmt->execute();

    // 獲取結果
    $result = $stmt->get_result();

    if ($result->num_rows > 0) {
        echo "登錄成功！";
    } else {
        echo "無效的用戶名或密碼。";
    }

    // 關閉語句
    $stmt->close();
}

// 關閉連接
$conn->close();
?>

在此示例中，即使用戶輸入包含惡意代碼（如admin' OR '1'='1 ），該輸入也不會影響SQL 查詢的結構，因為它被作為一個參數處理。

mysqli::stmt_init