在PHP中全面阻止SQL注入式攻击之三
一、 建立一个安全抽象层
我们并不建议你手工地把前面介绍的技术应用于每一个用户输入的实例中，而是强烈推荐你为此创建一个抽象层。一个简单的抽象是把你的校验方案加入到一个函数中，并且针对用户输入的每一项调用这个函数。当然，我们还可以创建一种更复杂的更高一级的抽象-把一个安全的查询封装到一个类中，从而应用于整个应用程序。在网上已经存在许多这种现成的免费的类；在本篇中，我们正要讨论其中的一些。
进行这种抽象至少存在三个优点（而且每一个都会改进安全级别）：
1. 本地化代码。
2. 使查询的构造更快且更为可靠-因为这可以把部分工作交由抽象代码来实现。
3. 当基于安全特征进行构建并且恰当使用时，这将会有效地防止我们前面所讨论的各种各样的注入式攻击。
二、 改进现有的应用程序
如果你想改进一个现有的应用程序，则使用一个简单的抽象层是最适当的。一个能够简单地"清理"你所收集的任何用户输入内容的函数可能看起来如下所示：
function safe( $string ) {
return "'" . mysql_real_escape_string( $string ) . "'"
}
【注意】我们已经构建了相应于值要求的单引号以及mysql_real_escape_string()函数。接下来，就可以使用这个函数来构造一个$query变量，如下所示：
$variety = safe( $_POST['variety'] );
$query = " SELECT * from wines WHERE variety=" . $variety;
现在，你的用户试图进行一个注入式攻击-通过输入下列内容作为变量$variety的值：
lagrein' or 1=1;
注意，如果不进行上面的"清理"，则最后的查询将如下所示（这将导致无法预料的结果）：
SELECT * from wines WHERE variety = 'lagrein' or 1=1;'
然而现在，既然用户的输入已经被清理，那么查询语句就成为下面这样一种无危害的形式：
SELECT * from wines WHERE variety = 'lagrein\' or 1=1\;'
既然数据库中不存在与指定的值相应的variety域(这正是恶意用户所输入的内容-lagrein' or 1=1;)，那么，这个查询将不能返回任何结果，并且注入将会失败。
三、 保护一个新的应用程序
如果你正在创建一个新的应用程序，那么，你可以从头开始创建一个安全抽象层。如今，PHP 5新改进的对于MySQL的支持（这主要体现在新的mysqli扩展中）为这种安全特征提供了强有力的支持（既有过程性的，也有面向对象特征的）。你可以从站点http://php.net/mysqli上获取有关mysqli的信息。注意，只有�
相关文档：
“技术问题都是可以解决的，技术问题不是最最重要的”
最近帮过一些人解决技术问题，发现一个很严重的问题，他们的做法和我最开始写程序的时候是一样的，这样下去会走好多的弯路。现在有一类程序员太多，他们总是一味的追求“所谓的技术难点”，总是把心事放在一些边边角角的“程序代码 ......
什么是 IDE?
简而言之，IDE 为编码工作提供了一站式服务。IDE 包括一个编辑器，在此编辑器内可以编辑代码、调试代码、在浏览器(通常是嵌入式的)中查看代码和签入和签出源码控制。为了支持这些功能，IDE 拥有一套在基本编辑器(比如记事本或者 Vim)中所找不到的特性。当然，您可以通过扩展编辑器来实现这些功能，但是 ID ......
SQL codeDECLARE @dt datetime
SET @dt=GETDATE()
DECLARE @number int
SET @number=3
--1．指定日期该年的第一天或最后一天
--A. 年的第一天
SELECT CONVERT(char(5),@dt,120)+'1-1'
--B. 年的最后一天
SELECT CONVERT(char(5),@dt,120)+'12-31'
--2．指定日期所在季度的第一天或最后一天
--A. 季度的第一天
SE ......
本文总结了开发工作中常用的SQL语句,供大家参考……
--语 句 功 能
--数据操作
SELECT --从数据库表中检索数据行和列
INSERT --向数据库表添加新数据行
DELETE --从数据库表中删除数据行
UPDATE --更新数据库表中的数据
--数据定义
CREATE TABLE --创建一个数据库表
DROP TABLE --从数据库中删除表
A ......
如何让你的SQL运行得更快(转贴)
---- 人们在使用SQL时往往会陷入一个误区，即太关注于所得的结果是否正确，而忽略
了不同的实现方法之间可能存在的性能差异，这种性能差异在大型的或是复杂的数据库
环境中（如联机事务处理OLTP或决策支持系统DSS）中表现得� ......
