PHP 삭제 기능을 사용하여 데이터베이스 레코드를 삭제할 때 SQL 주입을 효과적으로 방지하는 방법은 무엇입니까? 안전 가이드

gitbox 2025-06-15

SQL 주입이란 무엇입니까?

SQL 주입은 공격 방법입니다. 공격자는 악의적 인 SQL 코드를 SQL 쿼리에 삽입하여 무단 작업을 수행하도록 데이터베이스를 조작합니다. 삭제 명령문의 경우 공격자는 SQL 주입을 통해 삭제해서는 안되는 데이터를 삭제할 수 있으며 전체 데이터베이스 테이블을 삭제하여 심각한 보안 위험이 발생할 수도 있습니다.

1. 준비된 진술을 사용하십시오

SQL 주입을 효과적으로 방지하기 위해 가장 권장되는 접근법은 준비된 진술을 사용하는 것입니다. PHP는 준비된 진술을 지원하는 MySQL 데이터베이스와 상호 작용할 때 사용되는 MySQLI 및 PDO 확장 기능을 제공합니다. 이러한 방식으로 SQL 쿼리 및 입력 사용자 데이터를 분리하여 악의적 인 입력이 SQL 문에 주입되는 것을 방지 할 수 있습니다.

MySQLI 확장을 사용하여 삭제하십시오

 <span><span><span class="hljs-meta">&lt;?php</span></span><span>
</span><span><span class="hljs-comment">// 데이터베이스 연결</span></span><span>
</span><span><span class="hljs-variable">$mysqli</span></span><span> = </span><span><span class="hljs-keyword">new</span></span><span> </span><span><span class="hljs-title function_ invoke__">mysqli</span></span><span>(</span><span><span class="hljs-string">"localhost"</span></span><span>, </span><span><span class="hljs-string">"username"</span></span><span>, </span><span><span class="hljs-string">"password"</span></span><span>, </span><span><span class="hljs-string">"database_name"</span></span><span>);

</span><span><span class="hljs-comment">// 연결을 확인하십시오</span></span><span>
</span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-variable">$mysqli</span></span><span>-&gt;connect_error) {
    </span><span><span class="hljs-keyword">die</span></span><span>(</span><span><span class="hljs-string">"Connection failed: "</span></span><span> . </span><span><span class="hljs-variable">$mysqli</span></span><span>-&gt;connect_error);
}

</span><span><span class="hljs-comment">// 삭제하고 싶다고 가정 해 봅시다ID사용자에게 제공된 값 기록</span></span><span>
</span><span><span class="hljs-variable">$user_id</span></span><span> = </span><span><span class="hljs-variable">$_GET</span></span><span>[</span><span><span class="hljs-string">'id'</span></span><span>];  </span><span><span class="hljs-comment">// ~에서URL사용자가 제공 한 사용자를 얻으십시오ID</span></span><span>

</span><span><span class="hljs-comment">// 준비된 진술을 사용하여 방지하십시오SQL주입</span></span><span>
</span><span><span class="hljs-variable">$stmt</span></span><span> = </span><span><span class="hljs-variable">$mysqli</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">prepare</span></span><span>(</span><span><span class="hljs-string">"DELETE FROM users WHERE id = ?"</span></span><span>);
</span><span><span class="hljs-variable">$stmt</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">bind_param</span></span><span>(</span><span><span class="hljs-string">"i"</span></span><span>, </span><span><span class="hljs-variable">$user_id</span></span><span>);  </span><span><span class="hljs-comment">// "i" 매개 변수는 정수 유형임을 나타냅니다</span></span><span>

</span><span><span class="hljs-comment">// 실행 진술</span></span><span>
</span><span><span class="hljs-variable">$stmt</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">execute</span></span><span>();

</span><span><span class="hljs-comment">// 삭제가 성공했는지 확인하십시오</span></span><span>
</span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-variable">$stmt</span></span><span>-&gt;affected_rows &gt; </span><span><span class="hljs-number">0</span></span><span>) {
    </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">"레코드가 삭제되었습니다。"</span></span><span>;
} </span><span><span class="hljs-keyword">else</span></span><span> {
    </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">"레코드가 발견되지 않았거나 삭제가 실패했습니다。"</span></span><span>;
}

</span><span><span class="hljs-comment">// 연결을 닫으십시오</span></span><span>
</span><span><span class="hljs-variable">$stmt</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">close</span></span><span>();
</span><span><span class="hljs-variable">$mysqli</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">close</span></span><span>();
</span><span><span class="hljs-meta">?&gt;</span></span><span>
</span></span>

위의 코드에서 $ stmt-> bind_param ()은 사용자의 ID 입력을 매개 변수로 바인딩하는 데 사용됩니다. 매개 변수는 정수 유형임을 의미 합니다 . 사용자가 입력 한 ID가 매개 변수로 SQL 문에 안전하게 전달되며 SQL 문에 직접 내장되지 않기 때문에 SQL 주입을 효과적으로 방지 할 수 있습니다.

PDO 확장을 사용하여 삭제하십시오

 <span><span><span class="hljs-meta">&lt;?php</span></span><span>
</span><span><span class="hljs-keyword">try</span></span><span> {
    </span><span><span class="hljs-comment">// 데이터베이스 연결</span></span><span>
    </span><span><span class="hljs-variable">$pdo</span></span><span> = </span><span><span class="hljs-keyword">new</span></span><span> </span><span><span class="hljs-title function_ invoke__">PDO</span></span><span>(</span><span><span class="hljs-string">'mysql:host=localhost;dbname=database_name'</span></span><span>, </span><span><span class="hljs-string">'username'</span></span><span>, </span><span><span class="hljs-string">'password'</span></span><span>);
    </span><span><span class="hljs-variable">$pdo</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">setAttribute</span></span><span>(PDO::</span><span><span class="hljs-variable constant_">ATTR_ERRMODE</span></span><span>, PDO::</span><span><span class="hljs-variable constant_">ERRMODE_EXCEPTION</span></span><span>);

    </span><span><span class="hljs-comment">// 삭제하고 싶다고 가정 해 봅시다ID사용자에게 제공된 값 기록</span></span><span>
    </span><span><span class="hljs-variable">$user_id</span></span><span> = </span><span><span class="hljs-variable">$_GET</span></span><span>[</span><span><span class="hljs-string">'id'</span></span><span>];  </span><span><span class="hljs-comment">// ~에서URL사용자가 제공 한 사용자를 얻으십시오ID</span></span><span>

    </span><span><span class="hljs-comment">// 준비된 진술을 사용하십시오</span></span><span>
    </span><span><span class="hljs-variable">$stmt</span></span><span> = </span><span><span class="hljs-variable">$pdo</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">prepare</span></span><span>(</span><span><span class="hljs-string">"DELETE FROM users WHERE id = :id"</span></span><span>);
    </span><span><span class="hljs-variable">$stmt</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">bindParam</span></span><span>(</span><span><span class="hljs-string">':id'</span></span><span>, </span><span><span class="hljs-variable">$user_id</span></span><span>, PDO::</span><span><span class="hljs-variable constant_">PARAM_INT</span></span><span>);

    </span><span><span class="hljs-comment">// 실행 진술</span></span><span>
    </span><span><span class="hljs-variable">$stmt</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">execute</span></span><span>();

    </span><span><span class="hljs-comment">// 삭제가 성공했는지 확인하십시오</span></span><span>
    </span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-variable">$stmt</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">rowCount</span></span><span>() &gt; </span><span><span class="hljs-number">0</span></span><span>) {
        </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">"레코드가 삭제되었습니다。"</span></span><span>;
    } </span><span><span class="hljs-keyword">else</span></span><span> {
        </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">"레코드가 발견되지 않았거나 삭제가 실패했습니다。"</span></span><span>;
    }

} </span><span><span class="hljs-keyword">catch</span></span><span> (PDOException </span><span><span class="hljs-variable">$e</span></span><span>) {
    </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">"실수: "</span></span><span> . </span><span><span class="hljs-variable">$e</span></span><span>-&gt;</span><span><span class="hljs-title function_ invoke__">getMessage</span></span><span>();
}
</span><span><span class="hljs-meta">?&gt;</span></span><span>
</span></span>

PDO 에서 BindParam ()은 사용자가 입력 한 매개 변수를 SQL 문에 바인딩하고 PDO :: PARAM_INT를 통해 정수 유형으로 유형을 지정하는 데 사용됩니다. 이것은 또한 SQL 주입을 방지합니다.

2. 일반 표현식 또는 필터를 사용하여 사용자 입력을 확인하십시오

준비된 명령문을 사용하는 것 외에도 또 다른 효과적인 보안 보호는 사용자 입력을 확인하고 필터하는 것입니다. 삭제 작업, 특히 ID 필드의 경우 법적 정수인지 확인해야합니다.

 <span><span><span class="hljs-meta">&lt;?php</span></span><span>
</span><span><span class="hljs-variable">$user_id</span></span><span> = </span><span><span class="hljs-variable">$_GET</span></span><span>[</span><span><span class="hljs-string">'id'</span></span><span>];

</span><span><span class="hljs-comment">// 입력이 법적 정수인지 확인하십시오</span></span><span>
</span><span><span class="hljs-keyword">if</span></span><span> (!</span><span><span class="hljs-title function_ invoke__">filter_var</span></span><span>(</span><span><span class="hljs-variable">$user_id</span></span><span>, FILTER_VALIDATE_INT)) {
    </span><span><span class="hljs-keyword">die</span></span><span>(</span><span><span class="hljs-string">"잘못된 사용자ID"</span></span><span>);
}

</span><span><span class="hljs-comment">// 데이터베이스 삭제 작업을 수행하십시오</span></span><span>
</span><span><span class="hljs-meta">?&gt;</span></span><span>
</span></span>

Filter_var () 함수를 사용하여 사용자가 제공 한 ID가 법적 정수인지 확인하십시오. 그렇지 않은 경우 실행은 직접 중지됩니다. 이 추가 검증은 보안을 향상시킬 수 있습니다.

3. 최소한의 권한의 원리를 사용하십시오

데이터베이스와 상호 작용할 때 항상 최소한의 권한 원칙을 따르십시오. 데이터베이스 계정은 필요한 조치를 수행 할 수있는 권한 만 있어야합니다. 예를 들어, 삭제 작업은 데이터베이스 계정에 전체 권한을 부여하지 않고 특정 데이터베이스 계정 만 수행 할 수 있어야합니다. 이러한 방식으로, SQL 주입 취약성이 발생하더라도 공격자가 수행 할 수있는 동작은 제한됩니다.

4. SQL 로그 및 모니터링을 사용하십시오

잠재적 인 SQL 주입 공격을 적시에 감지하려면 데이터베이스의 SQL 로깅 기능을 활성화하고 데이터베이스를 모니터링하는 것이 좋습니다. 이는 공격이 발생할 때 비정상적인 활동을 추적하고 예방 조치를 신속하게 수행하는 데 도움이됩니다.

5. 정기적 인 업데이트 및 패치

마지막으로, PHP, 데이터베이스 및 모든 관련 구성 요소를 업데이트하는 것이 보안 취약점을 방지하는 데 핵심입니다. 모든 시스템에 최신 보안 패치가로드되도록 보안 통지를 자주 확인하십시오.

관련 태그:
SQL