SQL sercure, sử dụng addslashes hay var_export

Trong quá trình sử dụng PHP, để đảm bảo an toàn cho một câu truy vấn SQL (hay còn gọi là chống injection), ta thường sử dụng các hàm để đảm bảo các kí tự đặc biệt được sử dụng “đúng mục đích” của nó.

Trong đó phổ thông nhất và đơn giản nhất là sử dụng hàm addslashes của PHP.

Ngoài ra, trong quá trình tìm hiều, tôi cũng thấy rằng, var_export cũng là giải pháp hữu hiệu để tạo một chuỗi sql secure.

Tất nhiên, var_export thì sẽ tốn nhiều thời gian xử lí hơn, nhưng lại đơn giản hơn khi viết mã.

Tôi đã test thử mới 1 triệu vòng lặp với addslashes và var_export với chuỗi ‘schools\’ subjects

addslashes tốn 1.07 giây

var_export tốn 2.03 giây (gấp đôi)

Var_export viết mã đẹp hơn nhiều: thay vì viết

$string = ‘\”.addslashes($value).’\”;

bạn chỉ cần viết

$string = var_export($value);