使用PDO查詢mysql避免SQL隱碼攻擊

沉默術士發表於2017-07-03
MySql
使用傳統的 mysql_connect 、mysql_query方法來連線查詢資料庫時，如果過濾不嚴緊，就有SQL注入風險。雖然可以用mysql_real_escape_string()函式過濾使用者提交的值，但是也有缺陷。而使用PHP的PDO擴充套件的 prepare 方法，就可以避免sql injection 風險。
　　PDO(PHP Data Object) 是PHP5新加入的一個重大功能，因為在PHP 5以前的php4/php3都是一堆的資料庫擴充套件來跟各個資料庫的連線和處理，如 php_mysql.dll。 PHP6中也將預設使用PDO的方式連線，mysql擴充套件將被作為輔助 。官方地址：http://php.net/manual/en/book.pdo.php
　　1. PDO配置
　　使用PDO擴充套件之前，先要啟用這個擴充套件，php.ini中，去掉”extension=php_pdo.dll”前面的”;”號，若要連線資料庫，還需要去掉與PDO相關的資料庫擴充套件前面的”;”號（一般用的是php_pdo_mysql.dll），然後重啟Apache伺服器即可。
　　extension=php_pdo.dll
　　extension=php_pdo_mysql.dll
　　2. PDO連線mysql資料庫
　　$dbh = new PDO(“mysql:host=localhost;dbname=mydb”,”root”,”password”);
　　預設不是長連線，若要使用資料庫長連線，可以在最後加如下引數：
　　$dbh = new PDO(“mysql:host=localhost;dbname=mydb”,”root”,”password”,”array(PDO::ATTR_PERSISTENT => true) “);
　　$dbh = null; //(釋放)
　　3. PDO設定屬性
　　PDO有三種錯誤處理方式：
　　PDO::ERrmODE_SILENT不顯示錯誤資訊，只設定錯誤碼
　　PDO::ERrmODE_WARNING顯示警告錯
　　PDO::ERrmODE_EXCEPTION丟擲異常
　　可通過以下語句來設定錯誤處理方式為丟擲異常
　　$db->setAttribute(PDO::ATTR_ERrmODE, PDO::ERrmODE_EXCEPTION);
　　因為不同資料庫對返回的欄位名稱大小寫處理不同，所以PDO提供了PDO::ATTR_CASE設定項（包括PDO::CASE_LOWER，PDO::CASE_NATURAL，PDO::CASE_UPPER），來確定返回的欄位名稱的大小寫。
　　通過設定PDO::ATTR_ORACLE_NULLS型別（包括PDO::NULL_NATURAL，PDO::NULL_EmpTY_STRING，PDO::NULL_TO_STRING）來指定資料庫返回的NULL值在php中對應的數值。
　　4. PDO常用方法及其應用
　　PDO::query() 主要是用於有記錄結果返回的操作，特別是SELECT操作
　　PDO::exec() 主要是針對沒有結果集合返回的操作，如INSERT、UPDATE等操作
　　PDO::prepare() 主要是預處理操作，需要通過$rs->execute()來執行預處理裡面的SQL語句，這個方法可以繫結引數，功能比較強大（防止sql注入就靠這個）
　　PDO::lastInsertId() 返回上次插入操作，主鍵列型別是自增的最後的自增ID
　　PDOStatement::fetch() 是用來獲取一條記錄
　　PDOStatement::fetchAll() 是獲取所有記錄集到一個集合
　　PDOStatement::fetchColumn() 是獲取結果指定第一條記錄的某個欄位，預設是第一個欄位
　　PDOStatement::rowCount() :主要是用於PDO::query()和PDO::prepare()進行DELETE、INSERT、UPDATE操作影響的結果集，對PDO::exec()方法和SELECT操作無效。　　5.PDO操作MYSQL資料庫例項
<?php
$pdo = new PDO(“mysql:host=localhost;dbname=mydb”,”root”,””);
if($pdo -> exec(“insert into mytable(name,content) values(`fdipzone`,`123456`)”)){
echo “insert success”;
echo $pdo -> lastinsertid();
}
?>
<?php
$pdo = new PDO(“mysql:host=localhost;dbname=mydb”,”root”,””);
$rs = $pdo -> query(“select * from table”);
$rs->setFetchMode(PDO::FETCH_ASSOC); //關聯陣列形式
//$rs->setFetchMode(PDO::FETCH_NUM); //數字索引陣列形式
while($row = $rs -> fetch()){
print_r($row);
}
?>
<?php
foreach( $db->query( “SELECT * FROM table” ) as $row )
{
print_r( $row );
}
?>
　　統計有多少行資料：
<?php
$sql=”select count(*) from table”;
$num = $dbh->query($sql)->fetchColumn();
?>
　　prepare方式：
<?php
$query = $dbh->prepare(“select * from table”);
if ($query->execute()) {
while ($row = $query->fetch()) {
print_r($row);
}
}
?>
　　prepare引數化查詢：
<?php
$query = $dbh->prepare(“select * from table where id = ?”);
if ($query->execute(array(1000))) {
while ($row = $query->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
?>
　　使用PDO訪問MySQL資料庫時，真正的real prepared statements 預設情況下是不使用的。為了解決這個問題，你必須禁用 prepared statements的模擬效果。下面是使用PDO建立連結的例子：
　　<?php
　　$dbh = new PDO(`mysql:dbname=mydb;host=127.0.0.1;charset=utf8`, `root`, `pass`);
　　$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
　　?>
　　setAttribute()這一行是強制性的，它會告訴 PDO 禁用模擬預處理語句，並使用 real parepared statements 。這可以確保SQL語句和相應的值在傳遞到mysql伺服器之前是不會被PHP解析的（禁止了所有可能的惡意SQL隱碼攻擊）。
　　雖然你可以配置檔案中設定字符集的屬性(charset=utf8)，但是需要格外注意的是，老版本的 PHP（ < 5.3.6）在DSN中是忽略字元引數的。
　　完整的程式碼使用例項：
<?php
$dbh = new PDO(“mysql:host=localhost; dbname=mydb”, “root”, “pass”);
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的模擬效果
$dbh->exec(“set names `utf8`”);
$sql=”select * from table where username = ? and password = ?”;
$query = $dbh->prepare($sql);
$exeres = $query->execute(array($username, $pass));
if ($exeres) {
while ($row = $query->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
$dbh = null;
?>
　　上面這段程式碼就可以防範sql注入。為什麼呢？
　　當呼叫 prepare() 時，查詢語句已經傳送給了資料庫伺服器，此時只有佔位符 ? 傳送過去，沒有使用者提交的資料；當呼叫到 execute()時，使用者提交過來的值才會傳送給資料庫，它們是分開傳送的，兩者獨立的，SQL攻擊者沒有一點機會。
　　但是我們需要注意的是以下幾種情況，PDO並不能幫助你防範SQL隱碼攻擊。
　　不能讓佔位符 ? 代替一組值，這樣只會獲取到這組資料的第一個值，如：
　　select * from table where userid in ( ? );
　　如果要用in來查詢，可以改用find_in_set()實現
　　$ids = `1,2,3,4,5,6`;
　　select * from table where find_in_set(userid, ?);
　　不能讓佔位符代替資料表名或列名，如：
　　select * from table order by ?;
　　不能讓佔位符 ? 代替任何其他SQL語法，如：
　　select extract( ? from addtime) as mytime from table;
最新內容請見作者的GitHub頁：http://qaseven.github.io/


相關文章