php mysql pdo 防注入 PHP PDO 防止SQL注入

php mysql pdo 防注入 PHP PDO 防止SQL注入

前言

在web站点中，经常会遇到各种各样的网络攻击，其中sql注入是非常常见的一种，所以需要对sql注入进行防护。

目前许多站点服务端基本采用php+mysql的方式。对应php连接mysq而言php mysql pdo 防注入，l有三种方式：mysql扩展、、pdo。前两者不在此多说，网上有较多的学习资料。今天我们主要要讲解的是php如何通过pdo连接mysql数据库，以及为什么使用pdo连接mysql数据库具有很高的安全性。

一、什么是PDO

首先简单介绍一下什么是PDO。PDO是PHP Data （php数据对象）的缩写。是在php5.1版本之后开始支持pdo。你可以把pdo看做是php提供的一个类。它提供了一组数据库抽象层APIphp mysql pdo 防注入 PHP PDO 防止SQL注入，使得编写php代码不再关心具体要连接的数据库类型。你既可以用使用pdo连接mysql，也可以用它连接。并且pdo很好的解决了sql注入问题。

二、如何操作PDO

1、实例化对象：

try

$pdo = new PDO(“mysql:host=$host;port=$port;=$”,

$,

$,

array(PDO:: => true,

PDO:: => 5)

);

//PDO:: => true  将连接类型设置为持久连接php mysql pdo 防注入，避免脚本每次需要与数据库对话时都要部署一个新的链接，减少了资源消耗

//PDO:: => 5  设置数据库连接超时的时间为5秒

$pdo->(PDO::, PDO::);//修改默认的错误显示级别

$pdo->query(“SET NAMES 'utf8'”);

$pdo->query(“SET =”);

catch ( $e)

throw new ($e->().” in port:”.$port.” :”.$, 90100);

实例化的过程很清晰，不必多说。

2、对sql进行预处理

$sql = ” * from where id = ? and uid = ?”;

$st = $pdo->($sql);

实例化pdo对象之后php mysql pdo 防注入 PHP PDO 防止SQL注入，首先是对请求mysql的sql语句做预处理。在这里，我们使用了占位符的方式，将该sql传入函数后，预处理函数就会得到本次查询语句的sql模板类php mysql pdo 防注入，并将这个模板类返回，模板可以防止传那些有猫腻的变量改变本身查询语句的语义。

3、绑定查询参数

$st->(1,15);

$st->(2,20001);

或者

$id = 15;

$uid = 20001;

$st->(1,$id);

$st->(2,$uid);

对sql模板绑定参数，可以使用两种方法，和，通过代码能看出区别，是传入值，是传入变量。其中两个函数中的第一个参数“数字”代表为占位符中的第几个参数。

4、执行语句

$st->();

$ = $st->();

( )执行预准备语句，( )返回包含所有结果集行的数组。

pdo的整个执行使用过程就是这样，我觉得最重要的一步就是理解如何绑定查询参数。

二、PDO如何解决sql注入

在php5.3.6之后，pdo不会在本地对sql进行拼接然后将拼接后的sql传递给mysql 处理（也就是不会在本地做转义处理）。pdo的处理方法是在函数调用时，将预处理好的sql模板（包含占位符）通过mysql协议传递给mysql ，告诉mysql 模板的结构以及语义。当调用时，将两个参数传递给mysql 。由mysql 完成变量的转移处理。将sql模板和变量分两次传递，即解决了sql注入问题。

总结

对我自己而言，学习PDO的心路历程是这样的，首先是在工作中需要杜绝安全隐患，所以了解到pdo可以很好解决，于是去学习pdo防sql注入的原理，然后再是如何使用pdo。本文用相反的逻辑去讲述使用pdo和pdo防sql注入的原理，我觉得更利于新人学习。

如果有疑问可参考如下文章

pdo防sql注入原理

pdo函数详解