PDO 准备语句答案

【问题标题】：PDO Prepare statementsPDO 准备语句
【发布时间】：2012-02-06 15:15:39
【问题描述】：

我能尽快澄清一下吗，只是我正在进行的讨论：

以此为例：

$conn->prepare ( 'SELECT * FROM table WHERE id = "' . $_POST['id'] . '"' );

不是否防止 SQL 注入，您必须在放入准备语句之前绑定参数或清理值吗？还是我错了，直接使用prepare就可以了？

【问题讨论】：

重复：*.com/questions/1996344/…
@AshleyBanks：我认为向其他人解释它的最简单方法是在您的示例中没有将查询和参数分开（这是防止注入的原因）您只是合并所有内容进入查询（你好注入！）。 DB引擎对自己说，这个位是查询，这个位是参数，它们不能改变角色，不能合并在一起。如果他们仍然不明白，那么真实的例子就可以解决问题，毕竟眼见为实。

标签： php mysql pdo

【解决方案1】：

准备好的语句使用占位符来插入要插入的值。您问题中的代码 sn-p 已经将值插入到查询中，因此容易发生 SQL 注入。

以下伪代码突出显示预准备语句：

$stmt = $conn->prepare('SELECT * FROM `table` WHERE `id` = ?');
$stmt->execute($_POST['id']);

在此示例中，此“代码”背后的逻辑将负责正确引用 $_POST['id'] 中的任何内容并用它替换问号 ?。您可能还会遇到以下占位符：

$stmt = $conn->prepare('SELECT * FROM `table` WHERE `id` = :id');
$stmt->execute(array(
    'id' => $_POST['id']
));

但是请注意，准备好的语句并不能免除您在将用户提供的输入传递给（My）SQL 语句之前验证用户提供的输入的责任：如果 id 预计为整数，则仅接受整数作为输入。

【讨论】：

【解决方案2】：

是的，它不会阻止 SQL 注入，你应该使用

$conn->prepare ( 'SELECT * FROM table WHERE id = ?' );

【讨论】：

【解决方案3】：

对，你必须绑定参数才能受益于 PDO 的 sql 注入保护。

请记住，PDO 不会添加 htmlspecialchars，所以如果这对您很重要，您必须自己做。

【讨论】：