我们如何知道 PDO 正在逃避 SQL 注入？

发布于 2024-10-10 13:09:07 字数 414 浏览 10 评论 0原文

我是 PDO 库的新手。我正在使用 mysql 作为数据库的开发环境。我可以在使用“？”时使用准备和执行函数来运行查询使用命名占位符（例如：“：column”）时的占位符和bindParam方法。

之后，我尝试看看 PDO 是否通过放入任何引号来清理查询，就像 mysql_real_escape_string 那样进行任何类型的转义。我试图查看查询会是什么样子，但我得到的只是已传递到准备语句中的语句，而不是要执行的查询。

我尝试 var_dump $result->execute() 和 $result->fetch() 但execute 语句为我提供了带有占位符的准备语句的sql，而fetch 语句为我提供了该查询的结果。

有没有办法查看将运行的查找查询，或者至少在运行查询之前查看参数的外观？

我希望我的问题很清楚。 :|

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

落日海湾 2024-10-17 13:09:07

当您编写如下内容时：

$stmt = $pdo->prepare('SELECT * FROM tbl_name WHERE col_name = :col_name;');
$stmt->bindValue('col_name', 'some \' value');
$stmt->execute();

实际查询是...SELECT * FROM tbl_name WHERE col_name = :col_name;。这就是所谓的“准备好的声明”。首先，将查询发送到数据库，然后发送查询参数。 PDO 不合并查询和参数。

您可能认为 PDOStatement::bindValue() 会执行以下操作：

public function bindValue($placeholer, $value, $valueType = PDO::PARAM_STR) {
    $this->query = str_replace($placeholder, $this->quote($value, $valueType), $this->query);
}

但它不会。

它的作用更像是：

public function execute() {
    try {
        $this->sendQueryToDatabase($this->query);

        // Query is valid
        $this->sendParametersToDatabase($this->parameters);

        return $this->fetchResultSet();
    } catch (... $e) {
        // Query is invalid (eg. syntax error)
        throw ...;
    }
}

阅读有关准备好的语句的更多信息

When you write something like:

$stmt = $pdo->prepare('SELECT * FROM tbl_name WHERE col_name = :col_name;');
$stmt->bindValue('col_name', 'some \' value');
$stmt->execute();

The actual query is... SELECT * FROM tbl_name WHERE col_name = :col_name;. That's called prepared statement. Firstly, you send query to the database, later you send query parameters. PDO doesn't merge query and parameters.

You've probably thought that PDOStatement::bindValue() does something like:

public function bindValue($placeholer, $value, $valueType = PDO::PARAM_STR) {
    $this->query = str_replace($placeholder, $this->quote($value, $valueType), $this->query);
}

But it doesn't.

It does something more like that:

public function execute() {
    try {
        $this->sendQueryToDatabase($this->query);

        // Query is valid
        $this->sendParametersToDatabase($this->parameters);

        return $this->fetchResultSet();
    } catch (... $e) {
        // Query is invalid (eg. syntax error)
        throw ...;
    }
}

Read more about Prepared Statements

回复收藏 0 原文

冷情妓 2024-10-17 13:09:07

说实话。

PDO 有 2 种运行准备语句的模式：

本机模式。查询和数据se-pa-ra-te-ly发送到数据库。这意味着数据永远不会添加到查询中。所以，不会造成任何伤害。曾经。查询按原样发送到数据库，带有 ? 标记（但没有命名占位符，这些占位符被 PDO 替换为 ?）
兼容模式。 PDO 确实通过用依赖于变量名称的绑定变量替换占位符来进行旧式查询。字符串被引用/转义，其余的被转换为其类型。

这两种方法都是完全安全的。

当你有一个变量标识符时，真正的危险就开始了......