MySQL Подготовленные Заявления

Question

Мне было просто интересно, можно ли было бы использовать какую-либо форму подготовленных операторов в MySQL, чтобы мне не пришлось экранировать все свои входные данные и мне не пришлось бы переключать все мои файлы с MySQL на MySQLi.Я действительно не доверяю экранирующим функциям, поэтому, если есть какие-либо альтернативы, которые работают в обычном MySQL, было бы здорово.

Answer 1

Используйте PDO (объекты данных PHP) для подключения к базе данных MySQL. Этот метод гарантирует, что все входные данные базы данных всегда будут обрабатываться как текстовые строки, и вам никогда не придется выполнять экранирование вручную.

Это в сочетании с правильным использованием html_entities () для отображения данных из вашей базы данных - надежный и надежный способ защитить вашу страницу от внедрения. Я всегда использую PDO для обработки всех моих соединений с базой данных в моих проектах.

Создать объект базы данных (и в этом случае применить определенную кодировку символов):

try {
    $db = new PDO("mysql:host=[hostname];dbname=[database]",'[username]','[password]');
    $db->setAttribute(PDO::MYSQL_ATTR_INIT_COMMAND, "SET NAMES utf8");
    $db->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
    $db->exec('SET NAMES utf8');
} catch (PDOException $e) {
    echo $e->getMessage();
}

Тогда используйте это так:

$id = 1;
$q = $db->prepare('SELECT * FROM Table WHERE id = ?');
$q->execute(array($id));
$row = $q->fetch();
echo $row['Column_1'];

или

$q = $db->prepare('UPDATE Table SET Column_1 = ?, Column_2 = ? WHERE id = ?');
$q->execute(array('Value for Column_1','Value for Column_2',$id));

и с подстановочными знаками:

$search = 'John';
$q = $db->prepare('SELECT * FROM Table WHERE Column_1 LIKE ?');
$q->execute(array('%'.$search.'%'));
$num = $q->rowCount();
if ($num > 0) {
  while ($row = $q->fetch()) {
    echo $row['Column_1'];
  }
} else {
  echo "No hits!";
}

Подробнее:

Как я могу предотвратить внедрение SQL в PHP?

Когда * не * использовать подготовленные заявления?

насколько безопасны подготовленные заявления PDO

http://php.net/manual/en/book.pdo.php

Answer 2

Если вы не хотите иметь дело с выходом из своего ввода, вы всегда можете сопоставить его с шаблоном по мере его поступления, а затем отправить свои заранее написанные операторы. Это действительно будет стоить усилий, если у вас будет относительно мало возможных операторов для выполнения.