84669 人が学習中
152542 人が学習中
20005 人が学習中
5487 人が学習中
7821 人が学習中
359900 人が学習中
3350 人が学習中
180660 人が学習中
48569 人が学習中
18603 人が学習中
40936 人が学習中
1549 人が学習中
1183 人が学習中
32909 人が学習中
一直知道他可以防止注入,今天在网上也看到了一些文章还是没搞明白,即使是他分两次发送的,那攻击着也照样可以在参数上拼接阿http://blog.olesee.org/2015/10/14/pdo-%E9%98%B2%E6%AD%A2sql%E6%B3%A8%E5%85%A5%E7%9A%84%E5%8E%9F%E7%90%86/
欢迎选择我的课程,让我们一起见证您的进步~~
这背后是MySQL的预处理实现的,PDO发送给MySQL的并不是“拼接”后的SQL语句
举个例子
PREPARE mystatement FROM "SELECT * FROM topic WHERE id = ? or id = ?"; set @a = 1; set @b = 2; EXECUTE mystatement USING @a, @b; DEALLOCATE PREPARE mystatement;
其实关键的一点就是语句和数据通过这个方式实现了分离,例子中的@a, @b的内容怎么变,SQL的语法解析都不会把它们解析成语句的一部分
文档在此 http://dev.mysql.com/doc/refman/5.7/en/sql-syntax-prepared-statements.html
我也在关注这个问题,查到了一些资料:http://zhangxugg-163-com.iteye.com/blog/1835721
也请关注这个问题:https://segmentfault.com/q/1010000005994443
这背后是MySQL的预处理实现的,PDO发送给MySQL的并不是“拼接”后的SQL语句
举个例子
其实关键的一点就是语句和数据通过这个方式实现了分离,例子中的@a, @b的内容怎么变,SQL的语法解析都不会把它们解析成语句的一部分
文档在此 http://dev.mysql.com/doc/refman/5.7/en/sql-syntax-prepared-statements.html
我也在关注这个问题,查到了一些资料:
http://zhangxugg-163-com.iteye.com/blog/1835721
也请关注这个问题:
https://segmentfault.com/q/1010000005994443