PHP在Ubuntu上如何防止SQL注入

在Ubuntu上使用PHP防止SQL注入，可以遵循以下幾個步驟：

1. 使用預處理語句（Prepared Statements）：預處理語句是一種將參數與SQL查詢分開的方法，從而避免了SQL注入。使用PHP的PDO（PHP Data Objects）或MySQLi擴展來實現預處理語句。

例如，使用PDO：

$pdo = new PDO("mysql:host=localhost;dbname=mydb", "username", "password");
$sql = "INSERT INTO users (username, email) VALUES (:username, :email)";
$stmt = $pdo->prepare($sql);
$stmt->bindParam(":username", $username);
$stmt->bindParam(":email", $email);

$username = "John";
$email = "john@example.com";
$stmt->execute();

2. 使用數據驗證和過濾：在執行SQL查詢之前，對用戶輸入的數據進行驗證和過濾。使用PHP的內置函數，如filter_input()、filter_var()和htmlspecialchars()等。

例如：

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL);
$username = htmlspecialchars($username);
$email = htmlspecialchars($email);

3. 使用最小權限原則：為數據庫用戶分配盡可能少的權限，以減少SQL注入攻擊的影響。例如，如果用戶只需要讀取數據，則不要授予他們寫入權限。

4. 更新和維護：定期更新PHP、數據庫和其他相關軟件，以確保已修復已知的安全漏洞。

5. 使用Web應用防火墻（WAF）：使用WAF可以幫助識別和阻止SQL注入攻擊。有許多可用的WAF，如ModSecurity、Cloudflare等。

6. 錯誤處理：避免在錯誤消息中顯示詳細的數據庫結構信息。設置display_errors為Off，并記錄錯誤日志以便調試。

通過遵循這些步驟，可以在Ubuntu上使用PHP有效地防止SQL注入攻擊。