前言本文使用pdo的预处理方式可以避免sql注入。下面话不多说了，来一起看看详细的介绍吧在php手册中’PDO–预处理语句与存储过程’下的说明：下边分别说明一下上述两点好处：1.首先说说mysql的存储过程，mysql5中引入了存储过程特性，存储过程创建的时候，数据库已经对其进行了一次解析和优化。其次，存储过程一旦执行，在内存中就会保留一份这个存储过程，这样下次再执行同样的存储过程时，可以从内存中直接中读取。mysql存储过程的使用可以参看：https://www.jb51.net/article/7032.htm对于PDO，原理和其相同，只是PDO支持EMULATE_PREPARES（模拟预处理）方式，是在本地由PDO驱动完成，同时也可以不使用本地的模拟预处理，交由mysql完成，下边会对这两种情况进行说明。2.防止sql注入，我通过tcpdump和wireshark结合抓包来分析一下。在虚拟机上执行一段代码，对远端mysql发起请求：通过tcpdump抓包生成文件：通过wireshark打开文件：可以看到整个过程：3次握手–Login Request–Request Query–Request Quit查看Request Query包可以看到：咦？这不也是拼接sql语句么？其实，这与我们平时使用mysql_real_escape_string将字符串进行转义，再拼接成SQL语句没有差别，只是由PDO本地驱动完成转义的（EMULATE_PREPARES）这种情况下还是有可能造成SQL 注入的，也就是说在php本地调用pdo prepare中的mysql_real_escape_string来操作query，使用的是本地单字节字符集，而我们传递多字节编码的变量时，有可能还是会造成SQL注入漏洞（php 5.3.6以前版本的问题之一，这也就解释了为何在使用PDO时，建议升级到php 5.3.6+，并在DSN字符串中指定charset的原因）。针对php 5.3.6以前版本，以下代码仍然可能造成SQL注入问题：而正确的转义应该是给mysql Server指定字符集，并将变量发送给MySQL Server完成根据字符转义。那么，如何才能禁止PHP本地转义而交由MySQL Server转义呢？PDO有一项参数，名为PDO::ATTR_EMULATE_PREPARES ，表示是否使用PHP本地模拟prepare，此项参数默认true,我们改为false后再抓包看看。先在代码第一行后添加再次用tcpd开发云主机域名ump抓包，通过wireshark我们可以看到：php对sql语句发送采用了prepare–execute方式这次的变量转义处理交由mysql server来执行。既然变量和SQL模板是分两次发送的，那么就不存在SQL注入的问题了，但明显会多一次传输，这在php5.3.6之后是不需要的。使用PDO的注意事项1. php升级到5.3.6+，生产环境强烈建议升级到php 5.3.9+ php 5.4+，php 5.3.8存在致命的hash碰撞漏洞。2. 若使用php 5.3.6+, 请在在PDO的DSN中指定charset属性。小于5.3.6 : $dbh = new PDO($dsn,$user,$pass,array(PDO::MYSQL_ATTR_INIT_COMMAND => “set names utf8”));
3. 如果使用了PHP 5.3.6及以前版本，设置PDO::ATTR_EMULATE_PREPARES参数为false（即由MySQL server进行变量处理），php 5.3.6以上版本已经处理了这个问题，无论是使用本地模拟prepare还是调用mysql server的prepare均可。4. 如果使用了PHP 5.3.6及以前版本, 因Yii框架默认并未设置ATTR_EMULATE_PREPARES的值，请在数据库配置文件中指定emulatePrepare的值为false。注：1.为什么在DSN中指定了charset, 还需要执行set names
1.数据库操作：创建：create databases xxx；使用：use xxx；删除：drop databases xxx；显示：show databases开发云主机域名；数据类型：数值型：1.整型：bit、int2.浮点型：float、double、…
免责声明：本站发布的图片视频文字，以转载和分享为主，文章观点不代表本站立场，本站不承担相关法律责任；如果涉及侵权请联系邮箱：360163164@qq.com举报，并提供相关证据，经查实将立刻删除涉嫌侵权内容。
微信扫一扫 
