mysql_* 関数から PDO およびプリペアド ステートメントに切り替える必要があるのはなぜですか?

mysql_* 関数を PDO と準備されたステートメントで置き換える

廃止された mysql_* 関数

従来、PHP 開発者はmysql_connect、mysql_query、mysql_real_escape_string などの関数で MySQL データベースと対話します。ただし、これらの関数は非推奨であり、セキュリティ攻撃に対して脆弱です。

PDO の利点

PDO (PHP Data Objects) は、データベース通信用のより最新で安全なライブラリです。 。 MySQL を含むさまざまなデータベース システムと対話するための一貫したインターフェイスを提供します。 PDO の機能であるプリペアド ステートメントは、セキュリティを大幅に強化します。

PDO を使用したプリペアド ステートメント

プリペアド ステートメントを使用すると、SQL クエリを作成し、それに値を安全にバインドできます。 。プリペアド ステートメントを実行するとき、PDO は潜在的に危険な文字を自動的にエスケープし、SQL インジェクション攻撃から保護します。

データを安全に挿入する

PDO とプリペアド ステートメントを使用してデータを安全に挿入するにはステートメント:

$username = $_POST['username'];
$email = $_POST['email'];

$stmt = $dbh->prepare("INSERT INTO `users` (username, email) VALUES (:username, :email)");
$stmt->bindParam(':username', $username, PDO::PARAM_STR);
$stmt->bindParam(':email', $email, PDO::PARAM_STR);
$stmt->execute();

この例では、$_POST 配列の値は、文字列であることを示す PDO::PARAM_STR を使用してクエリ パラメーターにバインドされています。データベースはこれらの値を自動的にエスケープします。

PDO によるデータの取得

データを安全に取得するには:

$stmt = $dbh->prepare("SELECT * FROM `users` WHERE `id` = :user_id");
$stmt->bindParam(':user_id', $user_id, PDO::PARAM_INT);
$stmt->execute();
$results = $stmt->fetchAll();

結論

mysql_* 関数を PDO およびプリペアド ステートメントに置き換えることにより、データベース インタラクションのセキュリティを大幅に向上させることができます。 PDO は、手動エスケープの必要性を排除し、SQL インジェクション攻撃のリスクを軽減する、一貫性のある安全なインターフェイスを提供します。

以上がmysql_* 関数から PDO およびプリペアド ステートメントに切り替える必要があるのはなぜですか?の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。