Эффективные способы защиты PHP от SQL-инъекций

Расширенные примеры защиты от SQL-инъекций

Пример 1: Подготовленные запросы с множественными параметрами

<?
$pdo = new PDO('pgsql:host=localhost;dbname=shop', 'user', 'pass');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

// Поиск товаров по нескольким критериям
$category = $_POST['category'] ?? null;
$minPrice = (float) ($_POST['min_price'] ?? 0);
$maxPrice = (float) ($_POST['max_price'] ?? 10000);

$sql = 'SELECT * FROM products WHERE category = :cat AND price BETWEEN :min AND :max';
$stmt = $pdo->prepare($sql);
$stmt->execute([
    'cat' => $category,
    'min' => $minPrice,
    'max' => $maxPrice
]);
$products = $stmt->fetchAll();
?>

Результат: массив записей из таблицы products, соответствующих условиям. Параметры :cat, :min, :max передаются отдельно, и даже если $_POST['category'] содержит самодельный SQL (например, "1; DROP TABLE products;"), он будет воспринят только как строковое значение.

Пример 2: Использование плейсхолдеров в выражении LIKE

<?
$pdo = new PDO('mysql:host=localhost;dbname=blog', 'user', 'pass');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

$searchTerm = '%' . addcslashes($_POST['query'], '%_') . '%'; // экранирование подстановочных символов
$stmt = $pdo->prepare('SELECT * FROM posts WHERE title LIKE :term');
$stmt->execute(['term' => $searchTerm]);
$results = $stmt->fetchAll();
?>

Результат: записи с заголовком, содержащим искомое слово. При этом пользовательский ввод экранируется от символов % и _, чтобы они не интерпретировались как подстановочные знаки. Сама же SQL-инъекция предотвращается благодаря подготовленному запросу.

Пример 3: Безопасная работа с оператором IN

<?
$pdo = new PDO('sqlite:/path/to/db.sqlite');
$ids = [1, 5, 9, 12]; // предполагается, что массив уже очищен (например, через array_map('intval', $ids))
$placeholders = implode(',', array_fill(0, count($ids), '?'));
$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN ($placeholders)");
$stmt->execute($ids);
$users = $stmt->fetchAll();
?>

Результат: список пользователей с указанными ID. Поскольку количество плейсхолдеров динамическое, массив $ids передаётся как значения параметров, и каждый элемент безопасно подставляется.

Пример 4: Обработка ошибок и логирование (PDO)

<?
try {
    $pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $stmt = $pdo->prepare('INSERT INTO logs (message, created_at) VALUES (:msg, NOW())');
    $stmt->execute(['msg' => $_POST['log']]);
    echo "Запись добавлена";
} catch (PDOException $e) {
    // Логирование ошибки без раскрытия деталей пользователю
    error_log('SQL error: ' . $e->getMessage());
    echo "Произошла внутренняя ошибка";
}
?>

Результат: при успехе выводится сообщение. При ошибке (например, дубликат ключа) информация записывается в лог сервера, а пользователь видит общее сообщение. Это предотвращает утечку сведений о структуре БД.

Пример 5: Использование MySQLi с объектным стилем и подготовленными запросами

<?
$mysqli = new mysqli('localhost', 'user', 'pass', 'test');
if ($mysqli->connect_error) {
    die('Ошибка подключения: ' . $mysqli->connect_error);
}

$stmt = $mysqli->prepare("UPDATE articles SET views = views + 1 WHERE id = ?");
$stmt->bind_param('i', $articleId);
$articleId = (int) $_GET['id'];
$stmt->execute();
$stmt->close();
$mysqli->close();
?>

Результат: обновление счётчика просмотров для конкретной статьи. Тип 'i' означает integer, что дополнительно проверяет тип данных на стороне PHP.

Пример 6: Защита от инъекций в ORDER BY и LIMIT

<?
// ORDER BY не поддерживает плейсхолдеры; необходимо использовать белый список
$allowedColumns = ['title', 'created_at', 'author'];
$sort = $_GET['sort'] ?? 'created_at';
if (!in_array($sort, $allowedColumns)) {
    $sort = 'created_at';
}
$order = strtoupper($_GET['order'] ?? 'ASC');
if ($order !== 'ASC' && $order !== 'DESC') {
    $order = 'ASC';
}

$pdo = new PDO('mysql:host=localhost;dbname=blog', 'user', 'pass');
$stmt = $pdo->query("SELECT * FROM posts ORDER BY $sort $order LIMIT 10");
$posts = $stmt->fetchAll();
?>

Результат: список постов с безопасной сортировкой. Значения столбца и направления сортировки берутся только из предопределённого набора, что исключает инъекцию через ORDER BY.