使用PDO查詢Mysql來避免SQL注入風險

相關推薦

　　使用mysql_connect 、mysql_query方法來連接查詢數據庫時，若過濾不嚴，就會有SQL注入的風險，導致網站被攻擊。跟隨小編去看看吧！

　　雖然可以用mysql_real_escape_string()函數過濾用戶提交的值，但是也有缺陷。

　　而使用PHP的PDO擴展的 prepare 方法，就可以避免sql injection 風險。

　　PDO(PHP Data Object) 是PHP5新加入的一個重大功能，因為在PHP 5以前的php4/php3都是一堆的數據庫擴展來跟各個數據庫的連接和處理，如 php_mysql.dll。 PHP6中也將默認使用PDO的方式連接，mysql擴展將被作為輔助。官方：http://php.net/manual/en/book.pdo.php

　　1、PDO配置

　　使用PDO擴展之前，先要啟用這個擴展，PHP.ini中，去掉"extension=php_pdo.dll"前面的";"號,若要連接數據庫，還需要去掉與PDO相關的數據庫擴展前面的";"號（一般用的是php_pdo_mysql.dll），然后重啟Apache服務器即可。

　　復制代碼代碼如下:

　　extension=php_pdo.dll

　　extension=php_pdo_mysql.dll

　　2、PDO連接mysql數據庫

　　復制代碼代碼如下:

　　$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password");

　　默認不是長連接，若要使用數據庫長連接，需要在最后加如下參數:

　　$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password","array(PDO::ATTR_PERSISTENT => true) ");

　　$dbh = null; //(釋放)

　　3、PDO設置屬性

　　1) PDO有三種錯誤處理方式：

　　PDO::ERrmODE_SILENT不顯示錯誤信息，只設置錯誤碼

　　PDO::ERrmODE_WARNING顯示警告錯

　　PDO::ERrmODE_EXCEPTION拋出異常

　　可通過以下語句來設置錯誤處理方式為拋出異常

　　$db->setAttribute(PDO::ATTR_ERrmODE, PDO::ERrmODE_EXCEPTION);

　　當設置為PDO::ERrmODE_SILENT時可以通過調用errorCode() 或errorInfo()來獲得錯誤信息，當然其他情況下也可以。

　　2) 因為不同數據庫對返回的字段名稱大小寫處理不同，所以PDO提供了PDO::ATTR_CASE設置項（包括PDO::CASE_LOWER，PDO::CASE_NATURAL，PDO::CASE_UPPER），來確定返回的字段名稱的大小寫。

　　3) 通過設置PDO::ATTR_ORACLE_NULLS類型（包括PDO::NULL_NATURAL，PDO::NULL_EmpTY_STRING，PDO::NULL_TO_STRING）來指定數據庫返回的NULL值在php中對應的數值。

　　4、PDO常用方法及其應用

　　PDO::query() 主要是用于有記錄結果返回的操作，特別是SELECT操作

　　PDO::exec() 主要是針對沒有結果集合返回的操作，如INSERT、UPDATE等操作

　　PDO::prepare() 主要是預處理操作，需要通過$rs->execute()來執行預處理里面的SQL語句，這個方法可以綁定參數，功能比較強大（防止sql注入就靠這個）

　　PDO::lastInsertId() 返回上次插入操作，主鍵列類型是自增的最后的自增ID

　　PDOStatement::fetch() 是用來獲取一條記錄

　　PDOStatement::fetchAll() 是獲取所有記錄集到一個集合

　　PDOStatement::fetchColumn() 是獲取結果指定第一條記錄的某個字段，缺省是第一個字段

　　PDOStatement::rowCount() :主要是用于PDO::query()和PDO::prepare()進行DELETE、INSERT、UPDATE操作影響的結果集，對PDO::exec()方法和SELECT操作無效。

　　5、PDO操作MYSQL數據庫實例

　　例1：

　　復制代碼代碼如下:

　　<?php

　　$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");

　　if($pdo -> exec("insert into db_demo(name,content) values('title','content')")){

　　echo "插入成功！";

　　echo $pdo -> lastinsertid();

　　}

　　例2：

　　復制代碼代碼如下:

　　<?php

　　$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");

　　$rs = $pdo -> query("select * from test");

　　$rs->setFetchMode(PDO::FETCH_ASSOC); //關聯數組形式

　　//$rs->setFetchMode(PDO::FETCH_NUM); //數字索引數組形式

　　while($row = $rs -> fetch()){

　　print_r($row);

　　}

　　例3：

　　復制代碼代碼如下:

　　<?php

　　foreach( $db->query( "SELECT * FROM feeds" ) as $row )

　　{

　　print_r( $row );

　　}

　　統計有多少行數據：

　　復制代碼代碼如下:

　　<?php

　　$sql="select count(*) from test";

　　$num = $dbh->query($sql)->fetchColumn();

　　prepare方式：

　　$stmt = $dbh->prepare("select * from test");

　　if ($stmt->execute()) {

　　while ($row = $stmt->fetch()) {

　　print_r($row);

　　}

　　Prepare參數化查詢：

　　復制代碼代碼如下:

　　<?php

　　$stmt = $dbh->prepare("select * from test where name = ?");

　　if ($stmt->execute(array("david"))) {

　　while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {

　　print_r($row);

　　}

　　如何防止 sql注入

　　使用PDO訪問MySQL數據庫時，真正的real prepared statements 默認情況下是不使用的。為了解決這個問題，你必須禁用 prepared statements的仿真效果。下面是使用PDO創建鏈接的例子：

　　復制代碼代碼如下:

　　$dbh = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');

　　$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

　　setAttribute（）這一行是強制性的，它會告訴 PDO 禁用模擬預處理語句，并使用 real parepared statements 。這可以確保SQL語句和相應的值在傳遞到mysql服務器之前是不會被PHP解析的（禁止了所有可能的惡意SQL注入攻擊）。

　　雖然你可以配置文件中設置字符集的屬性(charset=utf8)，但是需要格外注意的是，老版本的 PHP（ < 5.3.6）在DSN中是忽略字符參數的。

　　來看一段完整的使用實例：

　　復制代碼代碼如下:

　　<?php

　　$dbh = new PDO("mysql:host=localhost; dbname=demo", "user", "pass");

　　$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果

　　$dbh->exec("set names 'utf8'");

　　$sql="select * from test where name = ? and password = ?";

　　$stmt = $dbh->prepare($sql);

　　$exeres = $stmt->execute(array($testname, $pass));

　　if ($exeres) {

　　while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {

　　print_r($row);

　　}

　　$dbh = null;

　　上面這段代碼就可以防范sql注入。

　　當調用 prepare() 時，查詢語句已經發送給了數據庫服務器，此時只有占位符 ? 發送過去，沒有用戶提交的數據；當調用到 execute()時，用戶提交過來的值才會傳送給數據庫，他們是分開傳送的，兩者獨立的，SQL攻擊者沒有一點機會。

【使用PDO查詢Mysql來避免SQL注入風險】相關文章：

Php中用PDO查詢Mysql來避免SQL注入風險的方法10-27

mysql,mysqli,PDO的優劣比較07-05

discuz的php防止sql注入函數10-17

PHP與MYSql連接與查詢06-19

php查詢mysql的實例09-09