- 相關(guān)推薦
使用PDO查詢(xún)Mysql來(lái)避免SQL注入風(fēng)險
使用mysql_connect 、mysql_query方法來(lái)連接查詢(xún)數據庫時(shí)，若過(guò)濾不嚴，就會(huì )有SQL注入的風(fēng)險，導致網(wǎng)站被攻擊。跟隨小編去看看吧！
雖然可以用mysql_real_escape_string()函數過(guò)濾用戶(hù)提交的值，但是也有缺陷。
而使用PHP的PDO擴展的 prepare 方法，就可以避免sql injection 風(fēng)險。
PDO(PHP Data Object) 是PHP5新加入的一個(gè)重大功能，因為在PHP 5以前的php4/php3都是一堆的數據庫擴展來(lái)跟各個(gè)數據庫的連接和處理，如 php_mysql.dll。 PHP6中也將默認使用PDO的方式連接，mysql擴展將被作為輔助 。官方：http://php.net/manual/en/book.pdo.php
1、PDO配置
使用PDO擴展之前，先要啟用這個(gè)擴展，PHP.ini中，去掉"extension=php_pdo.dll"前面的";"號,若要連接數據庫，還需要去掉與PDO相關(guān)的數據庫擴展前面的";"號（一般用的是php_pdo_mysql.dll），然后重啟Apache服務(wù)器即可。
復制代碼 代碼如下:
extension=php_pdo.dll
extension=php_pdo_mysql.dll
2、PDO連接mysql數據庫
復制代碼 代碼如下:
$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password");
默認不是長(cháng)連接，若要使用數據庫長(cháng)連接，需要在最后加如下參數:
$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password","array(PDO::ATTR_PERSISTENT => true) ");
$dbh = null; //(釋放)
3、PDO設置屬性
1) PDO有三種錯誤處理方式：
PDO::ERrmODE_SILENT不顯示錯誤信息，只設置錯誤碼
PDO::ERrmODE_WARNING顯示警告錯
PDO::ERrmODE_EXCEPTION拋出異常
可通過(guò)以下語(yǔ)句來(lái)設置錯誤處理方式為拋出異常
$db->setAttribute(PDO::ATTR_ERrmODE, PDO::ERrmODE_EXCEPTION);
當設置為PDO::ERrmODE_SILENT時(shí)可以通過(guò)調用errorCode() 或errorInfo()來(lái)獲得錯誤信息，當然其他情況下也可以。
2) 因為不同數據庫對返回的字段名稱(chēng)大小寫(xiě)處理不同，所以PDO提供了PDO::ATTR_CASE設置項（包括PDO::CASE_LOWER，PDO::CASE_NATURAL，PDO::CASE_UPPER），來(lái)確定返回的字段名稱(chēng)的大小寫(xiě)。
3) 通過(guò)設置PDO::ATTR_ORACLE_NULLS類(lèi)型（包括PDO::NULL_NATURAL，PDO::NULL_EmpTY_STRING，PDO::NULL_TO_STRING）來(lái)指定數據庫返回的NULL值在php中對應的數值。
4、PDO常用方法及其應用
PDO::query() 主要是用于有記錄結果返回的操作，特別是SELECT操作
PDO::exec() 主要是針對沒(méi)有結果集合返回的操作，如INSERT、UPDATE等操作
PDO::prepare() 主要是預處理操作，需要通過(guò)$rs->execute()來(lái)執行預處理里面的SQL語(yǔ)句，這個(gè)方法可以綁定參數，功能比較強大（防止sql注入就靠這個(gè)）
PDO::lastInsertId() 返回上次插入操作，主鍵列類(lèi)型是自增的最后的自增ID
PDOStatement::fetch() 是用來(lái)獲取一條記錄
PDOStatement::fetchAll() 是獲取所有記錄集到一個(gè)集合
PDOStatement::fetchColumn() 是獲取結果指定第一條記錄的某個(gè)字段，缺省是第一個(gè)字段
PDOStatement::rowCount() :主要是用于PDO::query()和PDO::prepare()進(jìn)行DELETE、INSERT、UPDATE操作影響的結果集，對PDO::exec()方法和SELECT操作無(wú)效。
5、PDO操作MYSQL數據庫實(shí)例
例1：
復制代碼 代碼如下:
<?php
$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");
if($pdo -> exec("insert into db_demo(name,content) values('title','content')")){
echo "插入成功！";
echo $pdo -> lastinsertid();
}
?>
例2：
復制代碼 代碼如下:
<?php
$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");
$rs = $pdo -> query("select * from test");
$rs->setFetchMode(PDO::FETCH_ASSOC); //關(guān)聯(lián)數組形式
//$rs->setFetchMode(PDO::FETCH_NUM); //數字索引數組形式
while($row = $rs -> fetch()){
print_r($row);
}
?>
例3：
復制代碼 代碼如下:
<?php
foreach( $db->query( "SELECT * FROM feeds" ) as $row )
{
print_r( $row );
}
?>
統計有多少行數據：
復制代碼 代碼如下:
<?php
$sql="select count(*) from test";
$num = $dbh->query($sql)->fetchColumn();
prepare方式：
$stmt = $dbh->prepare("select * from test");
if ($stmt->execute()) {
while ($row = $stmt->fetch()) {
print_r($row);
}
}
?>
Prepare參數化查詢(xún)：
復制代碼 代碼如下:
<?php
$stmt = $dbh->prepare("select * from test where name = ?");
if ($stmt->execute(array("david"))) {
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
?>
如何防止 sql注入
使用PDO訪(fǎng)問(wèn)MySQL數據庫時(shí)，真正的real prepared statements 默認情況下是不使用的。為了解決這個(gè)問(wèn)題，你必須禁用 prepared statements的仿真效果。下面是使用PDO創(chuàng )建鏈接的例子：
復制代碼 代碼如下:
$dbh = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
setAttribute（）這一行是強制性的，它會(huì )告訴 PDO 禁用模擬預處理語(yǔ)句，并使用 real parepared statements 。這可以確保SQL語(yǔ)句和相應的值在傳遞到mysql服務(wù)器之前是不會(huì )被PHP解析的（禁止了所有可能的惡意SQL注入攻擊）。
雖然你可以配置文件中設置字符集的屬性(charset=utf8)，但是需要格外注意的是，老版本的 PHP（ < 5.3.6）在DSN中是忽略字符參數的。
來(lái)看一段完整的使用實(shí)例：
復制代碼 代碼如下:
<?php
$dbh = new PDO("mysql:host=localhost; dbname=demo", "user", "pass");
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names 'utf8'");
$sql="select * from test where name = ? and password = ?";
$stmt = $dbh->prepare($sql);
$exeres = $stmt->execute(array($testname, $pass));
if ($exeres) {
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
$dbh = null;
?>
上面這段代碼就可以防范sql注入。
當調用 prepare() 時(shí)，查詢(xún)語(yǔ)句已經(jīng)發(fā)送給了數據庫服務(wù)器，此時(shí)只有占位符 ? 發(fā)送過(guò)去，沒(méi)有用戶(hù)提交的數據；當調用到 execute()時(shí)，用戶(hù)提交過(guò)來(lái)的值才會(huì )傳送給數據庫，他們是分開(kāi)傳送的，兩者獨立的，SQL攻擊者沒(méi)有一點(diǎn)機會(huì )。
【使用PDO查詢(xún)Mysql來(lái)避免SQL注入風(fēng)險】相關(guān)文章：
Php中用PDO查詢(xún)Mysql來(lái)避免SQL注入風(fēng)險的方法10-27
mysql,mysqli,PDO的優(yōu)劣比較07-05
php防止SQL注入的方法10-13
php怎么防止sql注入10-15
php中防止SQL注入的方法06-16
php防止SQL注入的方法分享09-29
discuz的php防止sql注入函數10-17
PHP與MYSql連接與查詢(xún)06-19