防止sql注入最好的辦法是對於提交後台的所有數據都進行過濾轉義。
對於簡單的情況,比如包含單引號' , 分號;, <, >, 等字符可通過rewrite直接重訂向到404頁面來避免。
用rewrite有個前提需要知道,一般用rewrite進行正則匹配只能匹配到網頁的URI,也就是url中?前部分,?以後部分是請求參數。
問號後面的請求參數,在nginx用$query_string表 示,不能在rewrite中匹配到,需要用if判斷
例如,對於參數中帶有單引號的'進行匹配然後定向到錯誤頁面,
/plus/list.php?tid=19&mid=1124'
rewrite ^.*([;'<>]).* /error.html break;
直接寫這樣的一條重寫肯定不會正確匹配,因為rewrite參數只會匹配請求的uri,也就是/plus/list.php部分。
需要使用$query_string 借助if進行判斷,如果查詢串種包含特殊字符,返回404。
if ( $query_string ~* ".*[;'<>].*" ){
return 404;
}