PHP PDO 与 mysql_*() 的安全优势

Question

使用 PHP PDO 代替 mysql_connect() 等有任何安全优势吗？

Answer 1

不会。与 MySQL 扩展相比，PDO 没有任何安全优势（墨菲定律告诉我们的除外，该定律对两者都适用）。两者都会通过转义相同的字符来保证输入安全。

然而，PDO 还有其他优点：

• 支持准备好的语句；
• 面向对象的接口；
• 数据访问抽象；并
• 生成更清晰的代码，因为您可以一次转义多个值

这些通常被认为是最重要的。

Answer 2

甚至不需要绑定参数，就

$stmt = $pdoConnection->prepare('SELECT foo FROM bar WHERE baz = :baz');
$stmt->execute(array(':baz' => 1));
foreach ($stmt as $row) {
}

这么简单。

Answer 3

是的，如果您使用 bindParam() 方法而不是使用 mysql_real_escape_string() 进行字符串连接。

记住在外部数据中使用 bindParam() 比记住使用 mysql_* 自己转义每个值要容易得多。

此外，PDO 更易于使用。