PHP MySQL注入測試失敗？mysql_query不支持多語句執行的安全機制

測試場景復現

用戶構造 URL：`test.php?sql=values%27);%20DROP%20DATABASE%20test;%20--%20`

PHP 代碼：

$data = $_GET['sql'];
$sql = "INSERT INTO test (test) VALUES ('$data');";
mysql_query($sql); // 單條語句執行接口

期望注入 `DROP DATABASE test`，實際報錯：`You have an error in your SQL syntax... near 'DROP DATABASE test; -- ')'`。

根本原因：`mysql_query` 單語句限制

• PHP 早期 `mysql_query()` **僅支持執行單條 SQL 語句**。
• 傳入包含分號 `;` 的多語句字符串，MySQL 服務端解析為**一條包含語法錯誤的長語句**，而非批量執行。
<>這是 `mysql` 擴展**天然防禦**多語句注入的機制 (雖然該擴展已棄用)。

對比：`mysqli_multi_query` / `PDO` 支持多語句

// mysqli 多語句 (危險，需極度小心)
mysqli_multi_query($conn, "INSERT ...; DROP DATABASE test; --");

// PDO 多語句 (默認禁用，需設置屬性)
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); // 使用真實預處理
$pdo->exec("INSERT ...; DROP DATABASE test;"); // 仍可能被驅動層攔截

真正的防注入藥方：預處理語句

// mysqli 預處理 (推薦)
$stmt = $mysqli->prepare("INSERT INTO test (test) VALUES (?)");
$stmt->bind_param("s", $data); // 參數綁定，徹底隔離代碼與數據
$stmt->execute();

// PDO 預處理 (推薦)
$stmt = $pdo->prepare("INSERT INTO test (test) VALUES (?)");
$stmt->execute([$data]);

總結

1. **`mysql_query` 不支持多語句**，導致經典 `; DROP TABLE` 注入在該接口下直接語法報錯，無法執行。
2. **不要依賴接口限制防注入** (已棄用擴展、不同驅動行為不一)。
3. **永遠使用預處理語句** (`prepare` + `bind_param` / `execute([params])`)，從根源上消除 SQL 注入風險。