mysql에 대한 PDO 연결이 주입을 방지할 수 있는 이유

  $stmt = $pdo->prepare('select * from user where id=?');
    $id = 1;
    $stmt->bindParam(1,$id);
    $stmt - >execute();

<span style="font-size:14px;" data-filtered="filtered"></span>

이 경우 PHP는 단순히 sql 문을 mysql 서버로 보냅니다. 이것은 문자열을 이스케이프 처리한 다음 이를 SQL 문으로 연결하기 위해 mysql_real_escape_string을 일반적으로 사용하는 것과 다르지 않습니다. PDO 로컬 드라이버에 의해 이스케이프됨), 이 경우 분명히 SQL 주입이 발생할 수 있습니다. 즉, pdo 준비의 mysql_real_escape_string은 PHP에서 로컬로 호출되어 로컬 단일 바이트 문자 세트를 사용하여 쿼리를 작동합니다. 멀티바이트로 인코딩된 변수를 전달하더라도 여전히 SQL 주입 취약점이 발생할 수 있습니다(PDO를 사용할 때 PHP 5.3.6+로 업그레이드하는 것이 권장되는 이유를 설명하는 PHP 5.3.6 이전 버전의 문제 중 하나입니다. 그리고 그 이유는 다음과 같습니다). DSN 문자열에 문자 집합을 지정하는 방법은 mysql 서버에 대한 문자 집합을 지정하고 해당 변수를 MySQL 서버로 보내 문자 이스케이프를 완료하는 것입니다. 그렇다면 PHP 로컬 이스케이프를 비활성화하고 MySQL 서버를 이스케이프하도록 하는 방법은 무엇일까요?

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);$stmt = $pdo->prepare('select * from user where id=?');
$id = 1;
$stmt->bindParam(1,$id);
$stmt - >execute();

;charset=utf8', 'root');

다음 질문이 있습니다. charset이 DSN에 지정되어 있으면, 여전히 세트 이름 을 실행해야 합니까?

예, 생략할 수 없습니다.