php - 我什么时候应该使用准备好的语句？

Question

本来我是用mysql_connect和mysql_query来做事的。然后我学习了SQL注入(inject)，所以我正在尝试学习如何使用准备好的语句。我了解 PDO 类的准备和执行功能如何有助于防止 SQL 注入(inject)。

仅当用户输入存储到数据库中时才需要准备语句吗？仍然使用 mysql_num_rows 可以吗，因为使用此函数我真的不会冒被黑客入侵的风险？还是使用准备好的语句来执行此操作更安全？我应该对涉及使用 MySQL 的所有内容使用准备好的语句吗？为什么？

Answer 1

tl/dr

总是。 100% 的时间，使用它。总是;即使您不需要使用它。仍然使用它。

---

mysql_* 函数已弃用。 ( ^{Notice the big red box?} )

Warning This extension was deprecated in PHP 5.5.0, and it was removed in PHP 7.0.0. Instead, the MySQLi or PDO_MySQL extension should be used. See also MySQL: choosing an API guide and related FAQ for more information. Alternatives to this function include:

• mysqli_connect()
• PDO::__construct()

你最好使用 PDO或 MySQLi .在使用准备好的语句时，这些 2 中的任何一个都足以作为兼容库。

在没有准备好的语句/对其进行 sanitizer 的情况下信任用户输入就像将您的车停在一个糟糕的街区，未解锁并且 key 在点火开关中。你基本上是在说，进来拿走我的好东西

你应该永远，我的意思是永远不要相信用户输入。除非你想要这个:

关于数据和存储数据，如评论中所述，您永远也不应该相信任何与用户相关的输入。除非您 101% 确定用于操作上述数据库/值的数据已硬编码到您的应用中，否则您必须使用准备好的语句。

现在谈谈为什么应该使用准备好的语句。这很简单。为了防止 SQL 注入(inject)，但以最直接的方式进行。准备好的语句的工作方式很简单，它将查询和数据一起发送，但是分开(如果有意义哈哈)-我意思是这样的:

Prepared Statements
Query: SELECT foo FROM bar WHERE foo = ?
Data:  [? = 'a value here']

与其前身相比，您截断了包含数据的查询，将其作为一个整体发送 - 反过来，这意味着它作为单个事务执行 - 导致 SQL 注入(inject)漏洞。

这里是一个伪 PHP PDO 示例，向您展示准备语句/绑定(bind)的简单性。

$dbh = PDO(....); // dsn in there mmm yeahh
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':value', $value);

// insert one row
$name = 'one';
$value = 1;
$stmt->execute();

^{Taken from PHP Manual for PDO Prepared Statements}

---

更多阅读

• How can I prevent SQL-injection in php?
• What is SQL-injection? (^{Simple Terms})