如何使用PDO查詢mysql避免SQL注入的方法
- jacklove原創
- 2018-06-09 14:03:501719瀏覽
使用傳統的 mysql_connect 、mysql_query方法來連接查詢資料庫時，如果過濾不嚴緊，就有SQL注入風險。雖然可以用mysql_real_escape_string()函數過濾使用者提交的值，但也有缺陷。而使用PHP的PDO擴充的 prepare 方法，就可以避免sql injection 風險。
PDO(PHP Data Object) 是PHP5新加入的一個重大功能，因為在PHP 5以前的php4/php3都是一堆的資料庫擴充來跟各個資料庫的連接和處理，如php_mysql.dll。 PHP6中也將預設使用PDO的方式連接，mysql擴充將會被當作輔助 。官方網址：http://php.net/manual/en/book.pdo.php
#1. PDO設定
使用PDO擴充之前，先啟用這個擴展，php.ini中，去掉"extension=php_pdo.dll"前面的";"號，若要連接資料庫，還需要去掉與PDO相關的資料庫擴充前面的";"號碼（一般用的是php_pdo_mysql.dll），然後重新啟動Apache伺服器即可。
extension=php_pdo.dll extension=php_pdo_mysql.dll
2. PDO連接mysql資料庫
$dbh = new PDO("mysql:host=localhost;dbname=mydb","root","password");預設不是長連接，若要使用資料庫長連接，可以在最後加以下參數：
$dbh = new PDO("mysql:host=localhost;dbname=mydb","root","password","array(PDO::ATTR_PERSISTENT => true) ");
$dbh = null; //(释放)3. PDO設定屬性
PDO有三種錯誤處理方式：
PDO::ERrmODE_SILENT不顯示錯誤訊息，只設定錯誤碼
PDO::ERrmODE_WARNING顯示警告錯誤
# PDO::ERrmODE_EXCEPTION拋出異常
可透過以下語句來設定錯誤處理方式為拋出例外
$db->setAttribute(PDO::ATTR_ERrmODE, PDO::ERrmODE_EXCEPTION);
因為不同資料庫對傳回的欄位名稱大小寫處理不同，所以PDO提供了PDO::ATTR_CASE設定項目（包括PDO::CASE_LOWER，PDO::CASE_NATURAL，PDO::CASE_UPPER），來確定傳回的欄位名稱的大小寫。
透過設定PDO::ATTR_ORACLE_NULLS類型（包括PDO::NULL_NATURAL，PDO::NULL_EmpTY_STRING，PDO::NULL_TO_STRING）來指定資料庫傳回的NULL值在php中對應的數值。
4. PDO常用方法及其應用
#PDO::query() 主要用於有記錄結果回傳的操作，特別是SELECT操作
PDO::exec() 主要是針對沒有結果集合回傳的操作，如INSERT、UPDATE等運算
#PDO::prepare() 主要是預處理操作，需要透過$rs->execute()來執行預處理裡面的SQL語句，這個方法可以綁定參數，功能比較強大（防止sql注入就靠這個）
PDO::lastInsertId() 回傳上次插入動作，主鍵列型別是自增的最後的自增ID
PDOStatement::fetch() 是用來取得一筆記錄
PDOStatement::fetchAll() 是取得所有記錄集到一個集合
PDOStatement::fetchColumn() 是取得結果指定第一筆記錄的某個字段，缺省是第一個字段
PDOStatement::rowCount() :主要是用於PDO::query()和PDO::prepare()進行DELETE、INSERT、UPDATE操作影響的結果集，對PDO::exec()方法和SELECT操作無效。
5.PDO操作MYSQL資料庫實例
<?php
$pdo = new PDO("mysql:host=localhost;dbname=mydb","root","");
if($pdo -> exec("insert into mytable(name,content) values('fdipzone','123456')")){
echo "insert success";
echo $pdo -> lastinsertid();
}
?><?php
$pdo = new PDO("mysql:host=localhost;dbname=mydb","root","");
$rs = $pdo -> query("select * from table");
$rs->setFetchMode(PDO::FETCH_ASSOC); //关联数组形式
//$rs->setFetchMode(PDO::FETCH_NUM); //数字索引数组形式
while($row = $rs -> fetch()){
print_r($row);
}
?><?php
foreach( $db->query( "SELECT * FROM table" ) as $row )
{
print_r( $row );
}
?>統計有多少行資料：
<?php $sql="select count(*) from table"; $num = $dbh->query($sql)->fetchColumn(); ?>
prepare方式：
e7aacce4249b65e0c0c47d847f142e63prepare("select * from table");
if ($query->execute()) {
while ($row = $query->fetch()) {
print_r($row);
}
}
?>
#prepare參數化查詢：
<?php
$query = $dbh->prepare("select * from table where id = ?");
if ($query->execute(array(1000))) {
while ($row = $query->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
?>使用PDO存取MySQL資料庫時，真正的real prepared statements 預設是不使用的。為了解決這個問題，你必須停用 prepared statements的模擬效果。下面是使用PDO建立連結的範例：
#<?php $dbh = new PDO('mysql:dbname=mydb;host=127.0.0.1;charset=utf8', 'root', 'pass'); $dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); ?>
setAttribute()这一行是强制性的，它会告诉 PDO 禁用模拟预处理语句，并使用 real parepared statements 。这可以确保SQL语句和相应的值在传递到mysql服务器之前是不会被PHP解析的（禁止了所有可能的恶意SQL注入攻击）。
虽然你可以配置文件中设置字符集的属性(charset=utf8)，但是需要格外注意的是，老版本的 PHP（ < 5.3.6）在DSN中是忽略字符参数的。
完整的代码使用实例：
<?php
$dbh = new PDO("mysql:host=localhost; dbname=mydb", "root", "pass");
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names 'utf8'");
$sql="select * from table where username = ? and password = ?";
$query = $dbh->prepare($sql);
$exeres = $query->execute(array($username, $pass));
if ($exeres) {
while ($row = $query->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
$dbh = null;
?>上面这段代码就可以防范sql注入。为什么呢？
当调用 prepare() 时，查询语句已经发送给了数据库服务器，此时只有占位符 ? 发送过去，没有用户提交的数据；当调用到 execute()时，用户提交过来的值才会传送给数据库，它们是分开传送的，两者独立的，SQL攻击者没有一点机会。
但是我们需要注意的是以下几种情况，PDO并不能帮助你防范SQL注入。
不能让占位符 ? 代替一组值，这样只会获取到这组数据的第一个值，如：
select * from table where userid in ( ? );
如果要用in來查找，可以改用find_in_set()实现
$ids = '1,2,3,4,5,6'; select * from table where find_in_set(userid, ?);
不能让占位符代替数据表名或列名，如：
select * from table order by ?;
不能让占位符 ? 代替任何其他SQL语法，如：
select extract( ? from addtime) as mytime from table;
本篇文章如何使用PDO查询mysql避免SQL注入的方法，更多相关内容请关注php中文网。
相关推荐：
关于HTML5 localStorage and sessionStorage 之间的区别
以上是如何使用PDO查詢mysql避免SQL注入的方法的詳細內容。更多資訊請關注PHP中文網其他相關文章！