防止SQL注入攻击
使用预编译可以自动防止SQL注入攻击。
一般来说下面的案例是典型的容易受攻击的做法
$query = "select * from db_name where name='name' and password='xxxxxx' ";
//看看有没有查询到
if(查询到){
header("admin.php"); //登录成功，跳到管理员界面
}
else {
header("login.php"); //登录失败跳回到登录页面
}
为什么说上面的代码容易被攻击，因为要想让$query执行成功，很简单
只要这样写就可以了，
$query= " select * from db_name where name='name' and password='xx' or 1='1' ";
密码乱写也没关系，这句语句仍然会成功执行。
下面是解决办法：
1.采用预编译，就是mysqli_stmt类文件来执行数据库查询语句。
2.更改登录逻辑
第一步根据用户的名字来查询密码
然后再调用数据库获得密码与这个密码比对，通过之后再登录到管理员界面。这样就防止密码被看到，因为密码和用户名不是放在同一个数据表中，自然黑客就不能通过上面手段看到密码了。
