首頁 > 文章 > 資料庫 > 如何使用PDO查詢mysql避免SQL注入的方法

如何使用PDO查詢mysql避免SQL注入的方法

jacklove原創: 2018-06-09 14:03:501735瀏覽

使用傳統的 mysql_connect 、mysql_query方法來連接查詢資料庫時，如果過濾不嚴緊，就有SQL注入風險。雖然可以用mysql_real_escape_string()函數過濾使用者提交的值，但也有缺陷。而使用PHP的PDO擴充的 prepare 方法，就可以避免sql injection 風險。

PDO(PHP Data Object) 是PHP5新加入的一個重大功能，因為在PHP 5以前的php4/php3都是一堆的資料庫擴充來跟各個資料庫的連接和處理，如php_mysql.dll。 PHP6中也將預設使用PDO的方式連接，mysql擴充將會被當作輔助。官方網址：http://php.net/manual/en/book.pdo.php

#1. PDO設定

使用PDO擴充之前，先啟用這個擴展，php.ini中，去掉"extension=php_pdo.dll"前面的";"號，若要連接資料庫，還需要去掉與PDO相關的資料庫擴充前面的";"號碼（一般用的是php_pdo_mysql.dll），然後重新啟動Apache伺服器即可。

extension=php_pdo.dll 
extension=php_pdo_mysql.dll

2. PDO連接mysql資料庫

$dbh = new PDO("mysql:host=localhost;dbname=mydb","root","password");

預設不是長連接，若要使用資料庫長連接，可以在最後加以下參數：

$dbh = new PDO("mysql:host=localhost;dbname=mydb","root","password","array(PDO::ATTR_PERSISTENT => true) "); 
$dbh = null; //(释放)

3. PDO設定屬性

PDO有三種錯誤處理方式：

PDO::ERrmODE_SILENT不顯示錯誤訊息，只設定錯誤碼

PDO::ERrmODE_WARNING顯示警告錯誤

# PDO::ERrmODE_EXCEPTION拋出異常

可透過以下語句來設定錯誤處理方式為拋出例外

$db->setAttribute(PDO::ATTR_ERrmODE, PDO::ERrmODE_EXCEPTION);

因為不同資料庫對傳回的欄位名稱大小寫處理不同，所以PDO提供了PDO::ATTR_CASE設定項目（包括PDO::CASE_LOWER，PDO::CASE_NATURAL，PDO::CASE_UPPER），來確定傳回的欄位名稱的大小寫。

透過設定PDO::ATTR_ORACLE_NULLS類型（包括PDO::NULL_NATURAL，PDO::NULL_EmpTY_STRING，PDO::NULL_TO_STRING）來指定資料庫傳回的NULL值在php中對應的數值。

4. PDO常用方法及其應用

#PDO::query() 主要用於有記錄結果回傳的操作，特別是SELECT操作

PDO::exec() 主要是針對沒有結果集合回傳的操作，如INSERT、UPDATE等運算

#PDO::prepare() 主要是預處理操作，需要透過$rs->execute()來執行預處理裡面的SQL語句，這個方法可以綁定參數，功能比較強大（防止sql注入就靠這個）

PDO::lastInsertId() 回傳上次插入動作，主鍵列型別是自增的最後的自增ID

PDOStatement::fetch() 是用來取得一筆記錄

PDOStatement::fetchAll() 是取得所有記錄集到一個集合

PDOStatement::fetchColumn() 是取得結果指定第一筆記錄的某個字段，缺省是第一個字段

PDOStatement::rowCount() :主要是用於PDO::query()和PDO::prepare()進行DELETE、INSERT、UPDATE操作影響的結果集，對PDO::exec()方法和SELECT操作無效。

5.PDO操作MYSQL資料庫實例

<?php 
$pdo = new PDO("mysql:host=localhost;dbname=mydb","root",""); 
if($pdo -> exec("insert into mytable(name,content) values(&#39;fdipzone&#39;,&#39;123456&#39;)")){ 
echo "insert success"; 
echo $pdo -> lastinsertid(); 
} 
?>

<?php 
$pdo = new PDO("mysql:host=localhost;dbname=mydb","root",""); 
$rs = $pdo -> query("select * from table"); 
$rs->setFetchMode(PDO::FETCH_ASSOC); //关联数组形式
//$rs->setFetchMode(PDO::FETCH_NUM); //数字索引数组形式
while($row = $rs -> fetch()){ 
    print_r($row); 
} 
?>

<?php
foreach( $db->query( "SELECT * FROM table" ) as $row )
{
    print_r( $row );
}
?>

統計有多少行資料：

<?php
$sql="select count(*) from table";
$num = $dbh->query($sql)->fetchColumn();
?>

prepare方式：

e7aacce4249b65e0c0c47d847f142e63prepare("select * from table");
if ($query->execute()) {
    while ($row = $query->fetch()) {
        print_r($row);
    }
}
?>

#prepare參數化查詢：

<?php
$query = $dbh->prepare("select * from table where id = ?");
if ($query->execute(array(1000))) { 
    while ($row = $query->fetch(PDO::FETCH_ASSOC)) {
        print_r($row);
    }
}
?>

使用PDO存取MySQL資料庫時，真正的real prepared statements 預設是不使用的。為了解決這個問題，你必須停用 prepared statements的模擬效果。下面是使用PDO建立連結的範例：

<?php
$dbh = new PDO(&#39;mysql:dbname=mydb;host=127.0.0.1;charset=utf8&#39;, &#39;root&#39;, &#39;pass&#39;);
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
?>

setAttribute()这一行是强制性的，它会告诉 PDO 禁用模拟预处理语句，并使用 real parepared statements 。这可以确保SQL语句和相应的值在传递到mysql服务器之前是不会被PHP解析的（禁止了所有可能的恶意SQL注入攻击）。

虽然你可以配置文件中设置字符集的属性(charset=utf8)，但是需要格外注意的是，老版本的 PHP（ < 5.3.6）在DSN中是忽略字符参数的。

完整的代码使用实例：

<?php
$dbh = new PDO("mysql:host=localhost; dbname=mydb", "root", "pass");
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names &#39;utf8&#39;"); 
$sql="select * from table where username = ? and password = ?";
$query = $dbh->prepare($sql); 
$exeres = $query->execute(array($username, $pass)); 
if ($exeres) { 
    while ($row = $query->fetch(PDO::FETCH_ASSOC)) {
        print_r($row);
    }
}
$dbh = null;
?>

上面这段代码就可以防范sql注入。为什么呢？

当调用 prepare() 时，查询语句已经发送给了数据库服务器，此时只有占位符 ? 发送过去，没有用户提交的数据；当调用到 execute()时，用户提交过来的值才会传送给数据库，它们是分开传送的，两者独立的，SQL攻击者没有一点机会。

但是我们需要注意的是以下几种情况，PDO并不能帮助你防范SQL注入。

不能让占位符 ? 代替一组值，这样只会获取到这组数据的第一个值，如：

select * from table where userid in ( ? );

如果要用in來查找，可以改用find_in_set()实现

$ids = &#39;1,2,3,4,5,6&#39;;
select * from table where find_in_set(userid, ?);

不能让占位符代替数据表名或列名，如：

select * from table order by ?;

不能让占位符 ? 代替任何其他SQL语法，如：

select extract( ? from addtime) as mytime from table;

本篇文章如何使用PDO查询mysql避免SQL注入的方法，更多相关内容请关注php中文网。

如何使用PDO查詢mysql避免SQL注入的方法

相關文章