Почему PDO лучше для выхода из MySQL, queries/querystrings, чем mysql_real_escape_string?

Помимо предотвращения внедрения SQL-кода, PDO позволяет один раз подготовить запрос и выполнить его несколько раз. Если ваш запрос выполняется несколько раз (например, в цикле), этот метод должен быть более эффективным (я говорю «должен быть», потому что похоже, что это не всегда так в более старых версиях MySQL). Метод prepare / bind также больше соответствует другим языкам, с которыми я работал.

Я не очень хорошо знаком с PDO, но есть различие между «подготовленными операторами» и экранированными строками. Экранирование - это удаление запрещенных символьных строк из запроса, но подготовленные операторы сообщают базе данных, какой тип запроса ожидать .

Запрос состоит из нескольких частей

Подумайте об этом так: когда вы отправляете запрос к базе данных, вы сообщаете ей несколько разных вещей. Одно может быть, например, «Я хочу, чтобы вы сделали выбор». Другой может быть «ограничить его строками, ГДЕ имя пользователя является следующим значением».

Если вы создадите запрос в виде строки и передадите его в базу данных, он не узнает ни о какой части, пока не получит завершенное строка. Вы можете сделать это:

'SELECT * FROM transactions WHERE username=$username'

Когда он получит эту строку, он должен проанализировать ее и решить: «Это SELECT с WHERE ».

Смешивание частей наверх

Предположим, злоумышленник вводит свое имя пользователя как billysmith OR 1 = 1 . Если вы не будете осторожны, вы можете поместить это в свою строку, в результате получится:

'SELECT * FROM transactions WHERE username=billysmith OR 1=1'

... который вернет все транзакции для всех пользователей , потому что 1 всегда равно 1. Ой, вы » взломали!

Видите, что случилось? База данных не не знает, какие части ожидать в вашем запросе , поэтому он просто проанализировал строку. Неудивительно, что WHERE имеет OR с двумя условиями, которые могут ему удовлетворить.

Сохранение прямых частей

Если бы только он знал чего ожидать , а именно SELECT , у которого WHERE было только одно условие, злоумышленник не мог его обмануть.

С подготовленным оператором вы можете дайте ему правильное ожидание. Вы можете сообщить базе данных: «Я собираюсь отправить вам SELECT , и он будет ограничен строками WHERE username = строка, которую я собираюсь передать вам . Вот и все - в запросе нет других частей. Готовы? Хорошо, вот строка для сравнения с именем пользователя. "

При таком ожидании базу данных не обмануть: она будет возвращать только строки, в которых столбец username содержит фактическую строку «billysmith OR 1 = 1». Если ни у кого нет этого имени пользователя, он ничего не вернет.

Другие преимущества подготовленных операторов

В дополнение к преимуществам безопасности, подготовленные операторы имеют несколько преимуществ скорости:

• Их можно повторно использовать с другими параметрами, которые должно быть быстрее, чем создание нового запроса с нуля, потому что база данных уже знает, что вы собираетесь запросить. Он уже построил свой «план запроса».
• Некоторые базы данных (я думаю, это Postgres) начнут составлять план запроса, как только получат подготовленный оператор - до того, как вы фактически отправите параметры для использования с ним. . Таким образом, вы можете увидеть ускорение даже по первому запросу.

В отличие от mysql_real_escape_string, PDO позволяет применять тип данных.

<?php
/* Execute a prepared statement by binding PHP variables */
$calories = 150;
$colour = 'red';
$sth = $dbh->prepare('SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour');
$sth->bindParam(':calories', $calories, PDO::PARAM_INT);
$sth->bindParam(':colour', $colour, PDO::PARAM_STR, 12);
$sth->execute();
?>

Обратите внимание, что в приведенном выше примере первый параметр, калории, должен быть целым числом (PDO :: PARAM_INT).

Во-вторых, мне легче читать параметризованные запросы PDO. Я бы лучше прочитал:

SELECT name FROM user WHERE id = ? AND admin = ? 

, чем

SELECT name FROM user WHERE id = mysql_real_escape_string($id) AND admin = mysql_real_escape_string($admin);

В-третьих, вам не нужно следить за тем, чтобы параметры указывались правильно. Об этом позаботится PDO. Например, mysql_real_query_string:

SELECT * FROM user WHERE name = 'mysql_real_escape_string($name)' //note quotes around param

vs

SELECT * FROM user WHERE name = ?

Наконец, PDO позволяет переносить ваше приложение на другую базу данных без изменения вызовов данных PHP.

Согласно Расширенное программирование в среде UNIX Стивенса , глава 13, это процедура для создания хорошо работающего демона Unix:

1. Форк и родительский выход. Это заставляет оболочку или сценарий загрузки думать, что команда выполнена. Также гарантируется, что дочерний процесс не будет лидером группы процессов (предварительное условие для setsid next)
2. Вызов setsid для создания нового сеанса. Это делает три вещи: Это заставляет оболочку или сценарий загрузки думать, что команда выполнена. Кроме того, гарантируется, что дочерний процесс не будет лидером группы процессов (предварительное условие для setsid next)
3. Вызов setsid для создания нового сеанса. Это делает три вещи: Это заставляет оболочку или сценарий загрузки думать, что команда выполнена. Также гарантируется, что дочерний процесс не будет лидером группы процессов (предварительное условие для setsid next)
4. Вызов setsid для создания нового сеанса. Это делает три вещи:
   1. Процесс становится лидером сеанса нового сеанса
   2. Процесс становится лидером группы процессов для новой группы процессов
   3. У процесса нет управляющего терминала
5. Необязательно снова выполнить ответвление и иметь родительский выход. Это гарантирует, что демон не является лидером сеанса и не может получить управляющий терминал (в SVR4)
6. Измените текущий рабочий каталог на / , чтобы не мешать монтированию и размонтированию
7. Установить режим файла маска создания на 000, чтобы в дальнейшем разрешить создание файлов с любыми необходимыми разрешениями.
8. Закройте ненужные файловые дескрипторы, унаследованные от родителя (в любом случае управляющего терминала нет): stdout , stderr , и stdin .

В настоящее время существует файл для отслеживания PID, который активно используется сценариями загрузки дистрибутива Linux.

$query = 'SELECT * FROM table WHERE id = ' . mysql_real_escape_string($id);

это не спасет вас от инъекций, потому что $ id может быть 1 OR 1 = 1 , и вы получите все записи из таблицы. вам придется привести $ id к правильному типу данных (в данном случае int)

pdo имеет еще одно преимущество, а именно взаимозаменяемость баз данных.