PDO防注入原理分析以及使用PDO的注意事项总结_PHP

PDO防注入原理分析以及使用PDO的注意事项总结_PHP

本文详细讲述了pdo防注入原理分析以及使用pdo的注意事项，分享给大家供大家参考。具体分析如下：

我们都知道，只要合理正确使用PDO,可以基本上防止SQL注入的产生，本文主要回答以下两个问题：

为什么要使用PDO而不是？

为何PDO能防注入？

使用PDO防注入的时候应该特别注意什么?

一、为何要优先使用PDO?

PHP手册上说得很清楚：

代码如下:

$pdo = new PDO(“mysql:host=192.168.0.1;=test;=utf8″,”root”);

$st = $pdo->(” * from info where id =? and name = ?”);

$id = 21;

$name = ”;

$st->(1,$id);

$st->(2,$name);

$st->();

$st->();

环境如下：

PHP 5.4.7

Mysql 协议版本 10

MySQL 5.5.27

为了彻底搞清楚php与mysql 通讯的细节php mysql pdo 防注入，我特别使用了抓包进行研究之,安装之后，我们设置过滤条件为tcp.port==3306, 如下图：

如此只显示与mysql 3306端口的通信数据，避免不必要的干扰。

特别要注意的是基于驱动，不支持本地环回接口的侦听（即使用php连接本地mysql的方法是无法侦听的）php mysql pdo 防注入，请连接其它机器（桥接网络的虚拟机也可）的MySQL进行测试。

然后运行我们的PHP程序，侦听结果如下，我们发现，PHP只是简单地将SQL直接发送给MySQL :

其实，这与我们平时使用ring将字符串进行转义PDO防注入原理分析以及使用PDO的注意事项总结_PHP，再拼接成SQL语句没有差别（只是由PDO本地驱动完成转义的），显然这种情况下还是有可能造成SQL注入的，也就是说在php本地调用pdo 中的ring来操作query，使用的是本地单字节字符集，而我们传递多字节编码的变量时，有可能还是会造成SQL注入漏洞(php 5.3.6以前版本的问题之一，这也就解释了为何在使用PDO时PDO防注入原理分析以及使用PDO的注意事项总结_PHP，建议升级到php 5.3.6+，并在DSN字符串中指定的原因。

针对php 5.3.6以前版本，以下代码仍然可能造成SQL注入问题：

代码如下:

$pdo->query(‘SET NAMES GBK’);

$var = chr(0xbf) . chr(0x27) . ” OR 1=1 /*”;

$query = ” * FROM info WHERE name = ?”;

$stmt = $pdo->($query);

$stmt->(array($var));

原因与上面的分析是一致的。

而正确的转义应该是给mysql 指定字符集，并将变量发送给MySQL 完成根据字符转义。

那么，如何才能禁止PHP本地转义而交由MySQL 转义呢？

PDO有一项参数，名为PDO::S ，表示是否使用PHP本地模拟，此项参数默认值未知。而且根据我们刚刚抓包分析结果来看，php 5.3.6+默认还是使用本地变量转，拼接成SQL发送给MySQL 的，我们将这项值设置为false, 试试效果，如以下代码：

代码如下:

$pdo = new PDO(“mysql:host=192.168.0.1;=test;”,”root”);

$pdo->(PDO::S, false);//这是我们刚加入的内容

$st = $pdo->(” * from info where id =? and name = ?”);

$id = 21;

$name = ”;

$st->(1,$id);

$st->(2,$name);

$st->();

$st->();

运行一下程序，使用抓包分析php mysql pdo 防注入，得出的结果如下：

看到了吗？这就是神奇之处，可见这次PHP是将SQL模板和变量是分两次发送给MySQL的，由MySQL完成变量的转义处理，既然变量和SQL模板是分两次发送的，那么就不存在SQL注入的问题了，但需要在DSN中指定属性，如：

秀脸

一款集成AI换脸、照片跳舞等多种AI特效玩法的App

4568