Php中用PDO查詢Mysql來避免SQL注入風(fēng)險(xiǎn)的方法
當(dāng)我們使用傳統(tǒng)的 mysql_connect 、mysql_query方法來連接查詢數(shù)據(jù)庫時(shí)，如果過濾不嚴(yán)，就有SQL注入風(fēng)險(xiǎn)，導(dǎo)致網(wǎng)站被攻擊，失去控制。雖然可以用mysql_real_escape_string()函數(shù)過濾用戶提交的值，但是也有缺陷。而使用PHP的PDO擴(kuò)展的 prepare 方法，就可以避免sql injection 風(fēng)險(xiǎn)。
PDO(PHP Data Object) 是PHP5新加入的一個(gè)重大功能，因?yàn)樵赑HP 5以前的php4/php3都是一堆的數(shù)據(jù)庫擴(kuò)展來跟各個(gè)數(shù)據(jù)庫的連接和處理，如 php_mysql.dll。 PHP6中也將默認(rèn)使用PDO的方式連接，mysql擴(kuò)展將被作為輔助 。官方：http://php.net/manual/en/book.pdo.php
1、PDO配置
使用PDO擴(kuò)展之前，先要啟用這個(gè)擴(kuò)展，PHP.ini中，去掉"extension=php_pdo.dll"前面的";"號(hào),若要連接數(shù)據(jù)庫，還需要去掉與PDO相關(guān)的數(shù)據(jù)庫擴(kuò)展前面的";"號(hào)（一般用的是php_pdo_mysql.dll），然后重啟Apache服務(wù)器即可。
extension=php_pdo.dll
extension=php_pdo_mysql.dll
2、PDO連接mysql數(shù)據(jù)庫
$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password");
默認(rèn)不是長連接，若要使用數(shù)據(jù)庫長連接，需要在最后加如下參數(shù):
$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password","array(PDO::ATTR_PERSISTENT => true)");
$dbh = null; //(釋放)
3、PDO設(shè)置屬性
1) PDO有三種錯(cuò)誤處理方式：
• PDO::ERrmODE_SILENT不顯示錯(cuò)誤信息，只設(shè)置錯(cuò)誤碼
• PDO::ERrmODE_WARNING顯示警告錯(cuò)
• PDO::ERrmODE_EXCEPTION拋出異常
可通過以下語句來設(shè)置錯(cuò)誤處理方式為拋出異常
$db->setAttribute(PDO::ATTR_ERrmODE, PDO::ERrmODE_EXCEPTION);
當(dāng)設(shè)置為PDO::ERrmODE_SILENT時(shí)可以通過調(diào)用errorCode() 或errorInfo()來獲得錯(cuò)誤信息，當(dāng)然其他情況下也可以。
2) 因?yàn)椴煌瑪?shù)據(jù)庫對(duì)返回的字段名稱大小寫處理不同，所以PDO提供了PDO::ATTR_CASE設(shè)置項(xiàng)（包括PDO::CASE_LOWER，PDO::CASE_NATURAL，PDO::CASE_UPPER），來確定返回的字段名稱的大小寫。
3) 通過設(shè)置PDO::ATTR_ORACLE_NULLS類型（包括PDO::NULL_NATURAL，PDO::NULL_EmpTY_STRING，PDO::NULL_TO_STRING）來指定數(shù)據(jù)庫返回的NULL值在php中對(duì)應(yīng)的數(shù)值。
4、PDO常用方法及其應(yīng)用
PDO::query() 主要是用于有記錄結(jié)果返回的操作，特別是SELECT操作
PDO::exec() 主要是針對(duì)沒有結(jié)果集合返回的操作，如INSERT、UPDATE等操作
PDO::prepare() 主要是預(yù)處理操作，需要通過$rs->execute()來執(zhí)行預(yù)處理里面的SQL語句，這個(gè)方法可以綁定參數(shù)，功能比較強(qiáng)大（防止sql注入就靠這個(gè)）
PDO::lastInsertId() 返回上次插入操作，主鍵列類型是自增的最后的自增ID
PDOStatement::fetch() 是用來獲取一條記錄
PDOStatement::fetchAll() 是獲取所有記錄集到一個(gè)集合
PDOStatement::fetchColumn() 是獲取結(jié)果指定第一條記錄的某個(gè)字段，缺省是第一個(gè)字段
PDOStatement::rowCount() :主要是用于PDO::query()和PDO::prepare()進(jìn)行DELETE、INSERT、UPDATE操作影響的結(jié)果集，對(duì)PDO::exec()方法和SELECT操作無效。
5、PDO操作MYSQL數(shù)據(jù)庫實(shí)例
<?php
$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");
if($pdo -> exec("insert into db_demo(name,content) values('title','content')")){
echo "插入成功！";
echo $pdo -> lastinsertid();
}
?>
<?php
$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");
$rs = $pdo -> query("select * from test");
$rs->setFetchMode(PDO::FETCH_ASSOC); //關(guān)聯(lián)數(shù)組形式
//$rs->setFetchMode(PDO::FETCH_NUM); //數(shù)字索引數(shù)組形式
while($row = $rs -> fetch()){
print_r($row);
}
?>
<?php
foreach( $db->query( "SELECT * FROM feeds" ) as $row )
{
print_r( $row );
}
?>
統(tǒng)計(jì)有多少行數(shù)據(jù)
$sql="select count(*) from test";
$num = $dbh->query($sql)->fetchColumn();
prepare方式
$stmt = $dbh->prepare("select * from test");
if ($stmt->execute()) {
while ($row = $stmt->fetch()) {
print_r($row);
}
}
Prepare參數(shù)化查詢
$stmt = $dbh->prepare("select * from test where name = ?");
if ($stmt->execute(array("david"))) {
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
【下面來說說重點(diǎn)了，如何防止 sql注入】
使用PDO訪問MySQL數(shù)據(jù)庫時(shí)，真正的real prepared statements 默認(rèn)情況下是不使用的。為了解決這個(gè)問題，你必須禁用 prepared statements的仿真效果。下面是使用PDO創(chuàng)建鏈接的例子：
$dbh = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
setAttribute（）這一行是強(qiáng)制性的，它會(huì)告訴 PDO 禁用模擬預(yù)處理語句，并使用 real parepared statements 。這可以確保SQL語句和相應(yīng)的值在傳遞到mysql服務(wù)器之前是不會(huì)被PHP解析的（禁止了所有可能的惡意SQL注入攻擊）。雖然你可以配置文件中設(shè)置字符集的屬性(charset=utf8)，但是需要格外注意的是，老版本的 PHP（ < 5.3.6）在DSN中是忽略字符參數(shù)的。
我們來看一段完整的代碼使用實(shí)例：
$dbh = new PDO("mysql:host=localhost; dbname=demo", "user", "pass");
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names 'utf8'");
$sql="select * from test where name = ? and password = ?";
$stmt = $dbh->prepare($sql);
$exeres = $stmt->execute(array($testname, $pass));
if ($exeres) {
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
$dbh = null;
上面這段代碼就可以防范sql注入。為什么呢？
當(dāng)調(diào)用 prepare() 時(shí)，查詢語句已經(jīng)發(fā)送給了數(shù)據(jù)庫服務(wù)器，此時(shí)只有占位符 ? 發(fā)送過去，沒有用戶提交的數(shù)據(jù)；當(dāng)調(diào)用到 execute()時(shí)，用戶提交過來的值才會(huì)傳送給數(shù)據(jù)庫，他們是分開傳送的，兩者獨(dú)立的，SQL攻擊者沒有一點(diǎn)機(jī)會(huì)。
但是我們需要注意的是以下幾種情況，PDO并不能幫助你防范SQL注入
1、你不能讓占位符 ? 代替一組值，如：
SELECT * FROM blog WHERE userid IN ( ? );
2、你不能讓占位符代替數(shù)據(jù)表名或列名，如：
SELECT * FROM blog ORDER BY ?;
3、你不能讓占位符 ? 代替任何其他SQL語法，如：
SELECT EXTRACT( ? FROM datetime_column) AS variable_datetime_element FROM blog;
- 防止MySQL注入或HTML表單濫用的PHP程序
- PHP MYSQL注入攻擊需要預(yù)防7個(gè)要點(diǎn)
- PHP+mysql防止SQL注入的方法小結(jié)
- php mysql_real_escape_string addslashes及mysql綁定參數(shù)防SQL注入攻擊
- PHP連接MySQL數(shù)據(jù)庫的三種方式實(shí)例分析【mysql、mysqli、pdo】
- php中mysql連接方式PDO使用詳解
- php中數(shù)據(jù)庫連接方式pdo和mysqli對(duì)比分析
- php基于PDO實(shí)現(xiàn)功能強(qiáng)大的MYSQL封裝類實(shí)例
- PHP基于pdo的數(shù)據(jù)庫操作類【可支持mysql、sqlserver及oracle】
- PHP使用PDO創(chuàng)建MySQL數(shù)據(jù)庫、表及插入多條數(shù)據(jù)操作示例
- php使用mysqli和pdo擴(kuò)展，測試對(duì)比mysql數(shù)據(jù)庫的執(zhí)行效率完整示例
- PHP使用PDO實(shí)現(xiàn)mysql防注入功能詳解
相關(guān)文章
PHP XML error parsing SOAP payload on line 1
PHP中GBK頁面調(diào)用WebService的編碼問題:XML error parsing SOAP payload on line 12010-06-06
這篇文章主要介紹了PHP函數(shù)超時(shí)處理方法,結(jié)合實(shí)例形式分析了基于register_shutdown_function的超時(shí)處理相關(guān)技巧,具有一定參考借鑒價(jià)值,需要的朋友可以參考下2016-02-02
PHP，是英文超級(jí)文本預(yù)處理語言Hypertext Preprocessor的縮寫。PHP 是一種 HTML 內(nèi)嵌式的語言，是一種在服務(wù)器端執(zhí)行的嵌入HTML文檔的腳本語言，語言的風(fēng)格有類似于C語言，被廣泛的運(yùn)用。本文介紹了十個(gè)PHP高級(jí)應(yīng)用技巧，一起來看。2015-09-09
php 使用 __call實(shí)現(xiàn)重載功能示例
這篇文章主要介紹了php 使用 __call實(shí)現(xiàn)重載功能,結(jié)合實(shí)例形式分析了PHP使用__call實(shí)現(xiàn)重載的相關(guān)操作技巧,需要的朋友可以參考下2019-11-11
PHP實(shí)現(xiàn)的數(shù)據(jù)對(duì)象映射模式詳解
這篇文章主要介紹了PHP實(shí)現(xiàn)的數(shù)據(jù)對(duì)象映射模式,結(jié)合實(shí)例形式分析了php數(shù)據(jù)對(duì)象映射模式的原理、實(shí)現(xiàn)步驟及相關(guān)操作技巧,需要的朋友可以參考下2019-03-03
api文檔不能根據(jù)代碼的變化發(fā)生實(shí)時(shí)動(dòng)態(tài)的改變，這樣后端修改了接口，前端不能及時(shí)獲取最新的接口，導(dǎo)致調(diào)用出錯(cuò)，需要手動(dòng)維護(hù)api文檔，加大了開發(fā)的工作量和困難，而swagger的出現(xiàn)就是為了解決這一系列的問題2023-02-02
php實(shí)現(xiàn)動(dòng)態(tài)口令認(rèn)證的示例代碼
這篇文章主要為大家詳細(xì)介紹了php實(shí)現(xiàn)動(dòng)態(tài)口令認(rèn)證的相關(guān)知識(shí),文中的示例代碼講解詳細(xì),感興趣的小伙伴可以跟隨小編一起學(xué)習(xí)一下2024-02-02
PHP數(shù)據(jù)集構(gòu)建JSON格式及新數(shù)組的方法
自己寫了個(gè)PHP結(jié)果集轉(zhuǎn)換成JSON格式的函數(shù)，可以直接調(diào)用;需要的朋友可以參考下2012-11-11
本篇文章是對(duì)PHP nl2br()格式化輸出進(jìn)行了詳細(xì)的分析介紹，需要的朋友參考下2013-06-06
這篇文章主要介紹了PHP中使用OpenSSL生成證書及加密解密,需要的朋友可以參考下2017-02-02