PDO 准备语句：我们需要逃逸吗？

发布于 2024-09-24 14:21:55 字数 514 浏览 2 评论 0原文

public function receiveDomainNames($keyword)
{
  try
  {
    $stmt = $this->_dbh->prepare("SELECT d.someField FROM domain d WHERE d.someField LIKE :keyword");
    $someField = '%'.$keyword.'%';

在这种情况下我们需要转义$keyword吗？

在php手册上我们可以读到：

如果应用程序专门使用准备好的语句，则开发人员可以确保不会发生 SQL 注入发生（但是，如果其他部分查询正在建立未转义的输入，SQL注入是仍然有可能）。

您认为是这种情况吗？在这种情况下，是否建立了未转义的输入（没有对我们的 $keyword 参数进行事先处理）？

提前致谢， MEM

原文

public function receiveDomainNames($keyword)
{
  try
  {
    $stmt = $this->_dbh->prepare("SELECT d.someField FROM domain d WHERE d.someField LIKE :keyword");
    $someField = '%'.$keyword.'%';

Do we need to escape $keyword on this case?

On php manual we can read:

If an application exclusively uses prepared statements, the developer can
be sure that no SQL injection will
occur (however, if other portions of
the query are being built up with
unescaped input, SQL injection is
still possible).

Is this the case on your opinion, are, on this case, build up unescaped input (no prior treatment has been made to our $keyword parameter) ?

Thanks in advance,
MEM

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

独留℉清风醉 2024-10-01 14:21:55

鉴于上述 SQL 语句，我认为 SQL 注入没有合理的可能性。

关于“其他部分”的警告将是一个 SQL 查询，如下所示：

$binds = array(":id"=>$_GET['id']);
$myPDO->prepare("SELECT {$_GET['columns']} FROM {$_GET{['table']} WHERE id = :id");
$statement = $myPDO->execute($binds);

该示例是其含义的最坏情况/明确示例，天真的有人可能会认为，因为他们逃避了 where 参数，所以一切都是安全的。

对于上面的示例，没有未转义的输入，因此您是安全的。

Given the above SQL statement, I see no rational possibility of a SQL injection.

What the warning about "other parts" would be a SQL query like:

$binds = array(":id"=>$_GET['id']);
$myPDO->prepare("SELECT {$_GET['columns']} FROM {$_GET{['table']} WHERE id = :id");
$statement = $myPDO->execute($binds);

The example is a worst case/explicit example of what they mean, that naively someone might think since they're escaping the where argument, that everything is safe.

With your example above, there is no un-escaped input so you're safe.

回复收藏 0 原文