php - 为啥PDO可以有效防止注入？-PHP中国語ネットワークQ&A

简体中文(ZH-CN) English(EN) 繁体中文(ZH-TW) 日本語(JA) 한국어(KO) Melayu(MS) Français(FR) Deutsch(DE)

php - 为啥PDO可以有效防止注入？

天蓬老师 2017-04-10 16:33:03

242

一直知道他可以防止注入，今天在网上也看到了一些文章还是没搞明白，即使是他分两次发送的，那攻击着也照样可以在参数上拼接阿
http://blog.olesee.org/2015/10/14/pdo-%E9%98%B2%E6%AD%A2sql%E6%B3%A8%E5%85%A5%E7%9A%84%E5%8E%9F%E7%90%86/

天蓬老师

欢迎选择我的课程，让我们一起见证您的进步~~

全員に返信 (2)

迷茫2017-04-10 16:35:03 2棟

这背后是MySQL的预处理实现的，PDO发送给MySQL的并不是“拼接”后的SQL语句

举个例子

PREPARE mystatement FROM "SELECT * FROM topic WHERE id = ? or id = ?"; set @a = 1; set @b = 2; EXECUTE mystatement USING @a, @b; DEALLOCATE PREPARE mystatement;

其实关键的一点就是语句和数据通过这个方式实现了分离，例子中的@a, @b的内容怎么变，SQL的语法解析都不会把它们解析成语句的一部分

文档在此 http://dev.mysql.com/doc/refman/5.7/en/sql-syntax-prepared-statements.html