安全地使用准备好的语句来查询数据库

Question

我正在尝试编写一个在允许进行的查询中多功能的函数，而且可以安全地防止注入< /强>。下面的代码按原样抛出错误，但如果我使用“name”而不是“：field”运行它，它就可以正常工作。

$field = "name";
$value = "joe";

function selectquery($field, $value)
  {
  global $dbcon;

  $select = $dbcon->prepare('SELECT * FROM tester1 WHERE :field = :value');
  if($select->execute(array(':field' => $field, ':value' => $value)));
    {
    $row = $select->fetch();
    for ($i=0; $i<3; $i++)
      {
      echo $row[$i]."\n";
      }
    }  
  }

如何允许更改表/字段/值，而不允许注入攻击？ mysql_real_escape_string() 看起来有点像倒退。有什么想法吗？

Answer 1

我可能是错的，但我不相信您可以在 PDO 中提供字段作为参数。

为什么不直接将其指定为函数的参数呢？与用户提供的数据不同，这些字段是有限的、定义明确的并且不会经常更改。由于

selectquery('name',$value);

您自己为函数调用提供字段名称，因此

$field = "name";
$value = "joe";

function selectquery($field, $value)
  {
  global $dbcon;

  $select=$dbcon->prepare("SELECT * FROM tester1 WHERE $field = :value");
  if($select->execute(array(':value' => $value)));
 //etcetera  

这是安全的，除非您担心会通过 SQL 注入攻击自己。

如果由于某种奇怪的原因，字段的名称来自用户输入，您可以创建一个允许字段的数组。这样，您就可以安全地避免注入，因为这些值只能来自您的数组。我不知道为什么字段名称会来自用户输入，因此不受信任，除非您正在制作 API？否则可能有更好的方法来实现目标。

无论如何，这将是一个潜在的解决方案，对表名使用白名单：

$field = "name";
$value = "joe";

$allowed_fields=array('name','other_name','sandwich');

function selectquery($field_name, $value)
  {
  global $dbcon,$allowed_fields;

  if(!in_array($field_name,$allowed_fields)){ return false; }
  else{ $field=$field_name; }

  $select=$dbcon->prepare("SELECT * FROM tester1 WHERE $field = :value");
  if($select->execute(array(':value' => $value)));
  //etcetera

Answer 2

使用 MDB2 自动执行
http://pear.php.net/manual/ en/package.database.mdb2.intro-auto.php

<?php
// Once you have a valid MDB2 object named $mdb2...
$table_name = 'user';

$fields_values = array(
    'id'      => 1,
    'name'    => 'Fabien',
    'country' => 'France'
);
$types = array('integer', 'text', 'text');

$mdb2->loadModule('Extended');
$affectedRows = $mdb2->extended->autoExecute($table_name, $fields_values,
                        MDB2_AUTOQUERY_INSERT, null, $types);

if (PEAR::isError($affectedRows)) {
    die($affectedRows->getMessage());
}
?>

Answer 3

数据库标识符（列名、表名和数据库名）不能也不应该被转义，因此不能在 SQL 准备的查询中使用它们。

有时您可能需要反引号这些标识符（对于 MySQL 使用 `，对于 SQLite 使用 "）。

Answer 4

绑定变量将其绑定为数据，特别是为了防止它更改查询的语法。此外，固定语法允许引擎分析一次准备好的查询，然后针对每组值快速运行它们。我鼓励您不要在 SQL 之上构建一个手持层，但如果您必须这样做，请考虑 preg_replace('/\W/', '', $field)。

Answer 5

不幸的是，PHP 数据对象没有公开引用字段标识符的方法。

作为替代方案，PEAR::MDB2（PHP 数据对象的精神前身）有一个 < a href="http://pear.php.net/package/MDB2/docs/2.4.1/MDB2/MDB2_Driver_Common.html#methodquoteIdentifier" rel="nofollow noreferrer">->quoteIdentifier() 选项允许您以安全的方式实现您想要的。

function selectquery($field, $value)
  {
  global $dbcon;

  $select = $dbcon->prepare('SELECT * FROM tester1 WHERE ' . $dbcon->quoteIdentifier($field) . ' = :value');
  if($select->execute(array('field' => $field, 'value' => $value)));
    {
    $row = $select->fetchRow();
    for ($i=0; $i<3; $i++)
      {
      echo $row[$i]."\n";
      }
    }  
  }

我知道这个解决方案不是最佳的（在开发项目的过程中更改抽象层很麻烦），但不幸的是，PDO 没有提供安全的方法来完成您想做的事情。

Answer 6

支持 Andrew Moore 的回应：唯一的方法是标识符引用，而 PDO 没有提供必要的方法。您可能只想借用其标识符引用的实现，而不是使用 MDB2。该函数非常简单，您应该能够编写自己的函数并相当容易地检查它的错误。

1. 将 . 上的输入字符串拆分为部分列表（可能只有一个）

   将

2. 对于每个部分：

   1. 将所有 ` 替换为 ``。
   2. 在开头和结尾添加 `，除非该部分为空。*

3. 使用 连接各部分。。

例如，quote_identifier("一二.三") 应该是 `一二`.`三` ——非常简单。

为了额外的安全性，您还可以验证字符串不包含任何非法字符，即使在带引号的标识符中也是如此（特别是空值，请参阅 MySQL 文档），但实际上 MySQL 应该捕获这些。 MDB2 不打扰。

*：此检查是必要的，因为 .columnname 是合法的，并且应该引用 .`columnname` 而不是 ``.`列名`。