117笔记问答在使用 PHP 的 MySQLi 函数时，安全性是非常重要的。以下是一些建议，可以帮助您确保代码的安全性：
- 使用预处理语句（Prepared Statements）和参数绑定（Parameter Binding）：这是防止 SQL 注入攻击的最有效方法。预处理语句将 SQL 查询与数据分开，确保用户输入不会被解释为 SQL 代码。
$stmt = $mysqli->prepare("INSERT INTO users (username, password) VALUES (?, ?)");
$stmt->bind_param("ss", $username, $password);
$username = "user";
$password = "password";
$stmt->execute();
- 验证和清理用户输入：在将用户输入插入到 SQL 查询之前，始终验证和清理输入。例如，可以使用
filter_var()函数来确保输入符合预期的格式。
$username = filter_var($username, FILTER_SANITIZE_STRING); $password = filter_var($password, FILTER_SANITIZE_STRING);
- 使用最小权限原则：为您的数据库连接分配尽可能低的权限，以限制潜在的安全风险。例如，如果您的脚本只需要从数据库中读取数据，不要授予它写入权限。
$mysqli = new mysqli("localhost", "username", "password", "database");
$mysqli->set_charset("utf8mb4");
- 关闭自动提交：在插入数据之前，关闭自动提交功能。这将确保您的插入操作不会立即生效，从而提高安全性。
$mysqli->autocommit(false);
- 检查错误：当执行 SQL 查询时，始终检查
mysqli对象的错误。这可以帮助您发现潜在的安全问题和其他错误。
if ($stmt->execute()) {
// 成功执行
} else {
echo "Error: " . $stmt->error;
}
- 使用安全的密码存储：不要将明文密码存储在数据库中。使用 PHP 的
password_hash()和password_verify()函数来安全地存储和验证密码。
$password = "password";
$hashed_password = password_hash($password, PASSWORD_DEFAULT);
// 验证密码
if (password_verify($password, $hashed_password)) {
// 密码匹配
}
- 更新和维护软件：定期更新 PHP、MySQL 和其他相关软件，以确保您使用的是最新的安全补丁和功能。
遵循这些建议，可以显著提高使用 PHP MySQLi 函数的应用程序的安全性。