当前位置：文江博客话题详情

使用 PHP 和 MySQL 准备的语句，而不使用 mysqli

发布于 2024-08-19 09:13:50 字数 100 浏览 1 评论 0原文

我想知道是否可以使用 mysql 库而不是 mysqli 库使用 PHP 和 MySQL 创建准备好的语句。

我在 PHP 文档中找不到任何内容。

谢谢。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

貪欢 2024-08-26 09:13:50

PHP 文档非常清楚地指出（在该页面的末尾）mysql 扩展不支持准备好的语句。支持准备好的语句的 mysqli 的替代方案是 PDO_MYSQL。

回复收藏 0 原文

╄→承喏 2024-08-26 09:13:50

PDO 怎么样？

http://php.net/manual/en/book.pdo.php

回复收藏 0 原文

站稳脚跟 2024-08-26 09:13:50

为什么要使用准备好的语句？

如果您担心 SQL 注入，您可以随时推出自己的注入：

$fname = "Robert'); DROP TABLE students;--";
$lname = "Smith";

$pureSql = "SELECT FROM `users` WHERE `fname` = '$fname'   AND `lname` = '$lname'";
$prepSql = "SELECT FROM `users` WHERE `fname` = :userfname AND `lname` = :userlname";

echo $pureSql, "\n";
echo prepare($prepSql, array('userfname' => $fname, 'userlname' => $lname)), "\n";

function prepare($sql, $params=array()){

    if(strlen($sql) < 2 || count($params) < 1){
        return $sql;
    }

    preg_match_all('/\:[a-zA-Z0-9]+/', $sql, $matches);

    $safeSql = $sql;
    foreach($matches[0] as $arg){
        if(array_key_exists(ltrim($arg, ':'), $params)){
            $safeSql = str_replace($arg, "'" . mysql_real_escape_string($params[ltrim($arg, ':')]) . "'", $safeSql);
        }
    }

    return $safeSql;

} //prepare()

输出为：

SELECT FROM users WHERE fname = 'Robert');删除表学生;--' AND lname = 'Smith'
从 users 中选择，其中 fname = 'Robert\');删除表学生;--' AND lname = 'Smith'

编辑：忘记了 xkcd 链接 http ://xkcd.com/327/

Why do you want to use a Prepared Statement?

If SQL injection is your concern you could always roll your own:

$fname = "Robert'); DROP TABLE students;--";
$lname = "Smith";

$pureSql = "SELECT FROM `users` WHERE `fname` = '$fname'   AND `lname` = '$lname'";
$prepSql = "SELECT FROM `users` WHERE `fname` = :userfname AND `lname` = :userlname";

echo $pureSql, "\n";
echo prepare($prepSql, array('userfname' => $fname, 'userlname' => $lname)), "\n";

function prepare($sql, $params=array()){

    if(strlen($sql) < 2 || count($params) < 1){
        return $sql;
    }

    preg_match_all('/\:[a-zA-Z0-9]+/', $sql, $matches);

    $safeSql = $sql;
    foreach($matches[0] as $arg){
        if(array_key_exists(ltrim($arg, ':'), $params)){
            $safeSql = str_replace($arg, "'" . mysql_real_escape_string($params[ltrim($arg, ':')]) . "'", $safeSql);
        }
    }

    return $safeSql;

} //prepare()

Output is:

SELECT FROM users WHERE fname = 'Robert'); DROP TABLE students;--' AND lname = 'Smith'
SELECT FROM users WHERE fname = 'Robert\'); DROP TABLE students;--' AND lname = 'Smith'

EDIT: forgot the xkcd link http://xkcd.com/327/

回复收藏 0 原文

~没有更多了~