nginx防止sql注入 - 网站安全 - 自学php-自学php网

来源：自学PHP网时间：2015-04-17 12:00 作者：阅读:次

[导读] 防止sql注入最好的办法是对于提交后台的所有数据都进行过滤转义。对于简单的情况，比如包含单引号#39; , 分号;, , , 等字符可通过rewrite直接重订向到404页面来避免。用rewrite有个前提需...

防止sql注入最好的办法是对于提交后台的所有数据都进行过滤转义。

对于简单的情况，比如包含单引号' , 分号;, <, >, 等字符可通过rewrite直接重订向到404页面来避免。

用rewrite有个前提需要知道，一般用rewrite进行正则匹配只能匹配到网页的URI，也就是url中?前部分，?以后部分是请求参数。

问号后面的请求参数，在nginx用$query_string表示，不能在rewrite中匹配到，需要用if判断

例如，对于参数中带有单引号的'进行匹配然后定向到错误页面，

/plus/list.php?tid=19&mid=1124'

rewrite ^.*([\;'\<\>]).* /error.html break;

直接写这样的一条重写肯定不会正确匹配，因为rewrite参数只会匹配请求的uri，也就是/plus/list.php部分。

需要使用$query_string 借助if进行判断，如果查询串种包含特殊字符，返回404。

if ( $query_string ~* ".*[\;'\<\>].*" ){

return 404;

}

更多文章推荐