使用PDO查詢Mysql來避免SQL注入風險
使用mysql_connect 、mysql_query方法來連接查詢數據庫時,若過濾不嚴,就會有SQL注入的風險,導致網站被攻擊。跟隨小編去看看吧!
雖然可以用mysql_real_escape_string()函數過濾用户提交的值,但是也有缺陷。
而使用PHP的PDO擴展的 prepare 方法,就可以避免sql injection 風險。
PDO(PHP Data Object) 是PHP5新加入的一個重大功能,因為在PHP 5以前的php4/php3都是一堆的數據庫擴展來跟各個數據庫的連接和處理,如 php_。 PHP6中也將默認使用PDO的方式連接,mysql擴展將被作為輔助 。官方:
1、PDO配置
使用PDO擴展之前,先要啟用這個擴展,中,去掉"extension=php_"前面的";"號,若要連接數據庫,還需要去掉與PDO相關的數據庫擴展前面的";"號(一般用的是php_pdo_),然後重啟Apache服務器即可。
複製代碼 代碼如下:
extension=php_
extension=php_pdo_
2、PDO連接mysql數據庫
複製代碼 代碼如下:
$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password");
默認不是長連接,若要使用數據庫長連接,需要在最後加如下參數:
$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password","array(PDO::ATTR_PERSISTENT => true) ");
$dbh = null; //(釋放)
3、PDO設置屬性
1) PDO有三種錯誤處理方式:
PDO::ERrmODE_SILENT不顯示錯誤信息,只設置錯誤碼
PDO::ERrmODE_WARNING顯示警告錯
PDO::ERrmODE_EXCEPTION拋出異常
可通過以下語句來設置錯誤處理方式為拋出異常
$db->setAttribute(PDO::ATTR_ERrmODE, PDO::ERrmODE_EXCEPTION);
當設置為PDO::ERrmODE_SILENT時可以通過調用errorCode() 或errorInfo()來獲得錯誤信息,當然其他情況下也可以。
2) 因為不同數據庫對返回的字段名稱大小寫處理不同,所以PDO提供了PDO::ATTR_CASE設置項(包括PDO::CASE_LOWER,PDO::CASE_NATURAL,PDO::CASE_UPPER),來確定返回的字段名稱的大小寫。
3) 通過設置PDO::ATTR_ORACLE_NULLS類型(包括PDO::NULL_NATURAL,PDO::NULL_EmpTY_STRING,PDO::NULL_TO_STRING)來指定數據庫返回的NULL值在php中對應的數值。
4、PDO常用方法及其應用
PDO::query() 主要是用於有記錄結果返回的操作,特別是SELECT操作
PDO::exec() 主要是針對沒有結果集合返回的操作,如INSERT、UPDATE等操作
PDO::prepare() 主要是預處理操作,需要通過$rs->execute()來執行預處理裏面的SQL語句,這個方法可以綁定參數,功能比較強大(防止sql注入就靠這個)
PDO::lastInsertId() 返回上次插入操作,主鍵列類型是自增的最後的自增ID
PDOStatement::fetch() 是用來獲取一條記錄
PDOStatement::fetchAll() 是獲取所有記錄集到一個集合
PDOStatement::fetchColumn() 是獲取結果指定第一條記錄的某個字段,缺省是第一個字段
PDOStatement::rowCount() :主要是用於PDO::query()和PDO::prepare()進行DELETE、INSERT、UPDATE操作影響的結果集,對PDO::exec()方法和SELECT操作無效。
5、PDO操作MYSQL數據庫實例
例1:
複製代碼 代碼如下:
<?php
$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");
if($pdo -> exec("insert into db_demo(name,content) values('title','content')")){
echo "插入成功!";
echo $pdo -> lastinsertid();
}
?>
例2:
複製代碼 代碼如下:
<?php
$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");
$rs = $pdo -> query("select * from test");
$rs->setFetchMode(PDO::FETCH_ASSOC); //關聯數組形式
//$rs->setFetchMode(PDO::FETCH_NUM); //數字索引數組形式
while($row = $rs -> fetch()){
print_r($row);
}
?>
例3:
複製代碼 代碼如下:
<?php
foreach( $db->query( "SELECT * FROM feeds" ) as $row )
{
print_r( $row );
}
?>
統計有多少行數據:
複製代碼 代碼如下:
<?php
$sql="select count(*) from test";
$num = $dbh->query($sql)->fetchColumn();
prepare方式:
$stmt = $dbh->prepare("select * from test");
if ($stmt->execute()) {
while ($row = $stmt->fetch()) {
print_r($row);
}
}
?>
Prepare參數化查詢:
複製代碼 代碼如下:
<?php
$stmt = $dbh->prepare("select * from test where name = ?");
if ($stmt->execute(array("david"))) {
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
?>
如何防止 sql注入
使用PDO訪問MySQL數據庫時,真正的real prepared statements 默認情況下是不使用的。為了解決這個問題,你必須禁用 prepared statements的'仿真效果。下面是使用PDO創建鏈接的例子:
複製代碼 代碼如下:
$dbh = new PDO('mysql:dbname=dbtest;host=;charset=utf8', 'user', 'pass');
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
setAttribute()這一行是強制性的,它會告訴 PDO 禁用模擬預處理語句,並使用 real parepared statements 。這可以確保SQL語句和相應的值在傳遞到mysql服務器之前是不會被PHP解析的(禁止了所有可能的惡意SQL注入攻擊)。
雖然你可以配置文件中設置字符集的屬性(charset=utf8),但是需要格外注意的是,老版本的 PHP( < 5.3.6)在DSN中是忽略字符參數的。
來看一段完整的使用實例:
複製代碼 代碼如下:
<?php
$dbh = new PDO("mysql:host=localhost; dbname=demo", "user", "pass");
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names 'utf8'");
$sql="select * from test where name = ? and password = ?";
$stmt = $dbh->prepare($sql);
$exeres = $stmt->execute(array($testname, $pass));
if ($exeres) {
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
$dbh = null;
?>
上面這段代碼就可以防範sql注入。
當調用 prepare() 時,查詢語句已經發送給了數據庫服務器,此時只有佔位符 ? 發送過去,沒有用户提交的數據;當調用到 execute()時,用户提交過來的值才會傳送給數據庫,他們是分開傳送的,兩者獨立的,SQL攻擊者沒有一點機會。
-
php環境怎麼配置
使用php集成環境可以輕鬆實現php一鍵安裝,搭建php開發環境;phpnow,xampp,phpstudy是Windows平台上最常用的三個php集成開發環境。以下是小編為大家搜索整理的PHP環境配置的方法,歡迎大家閲讀!更多精彩內容請及時關注我們考試網!運行環境配置:php54+Apache2.2+Mysq...
-
php中zend相對路徑問題
php下使用zend相對路徑的處理方法。如何使用呢?就跟隨本站小編一起去了解下吧,想了解更多相關信息請持續關注我們應屆畢業生考試網!<?phpdefine('P_S',PATH_SEPARATOR);define('ROOT',"../");set_include_path(ROOT.P_S.'Zend'.P_S_incl...
-
PHP base64解碼 加密圖片的還原方法
PHP是一門高效的網絡編程語言,由於它具有編寫靈活、運行快速等優點,迅速成為Web程序員的首選語言。以下是小編為大家搜索整理的PHPbase64解碼加密圖片的還原方法,希望能給大家帶來幫助!更多精彩內容請及時關注我們應屆畢業生考試網![php]viewplaincopy//文件名:$d...
-
PHP開發環境安裝的方法
PHP是一種HTML內嵌式的語言,是一種在服務器端執行的嵌入HTML文檔的腳本語言,語言的風格有類似於C語言,被廣泛地運用。以下是小編為大家搜索整理的PHP開發環境安裝的方法,歡迎閲讀!更多精彩內容請及時關注我們應屆畢業生考試網!一、PHP簡介PHP於1994年由RasmusLerdo...