PHP、PDO、MySQL - 多个 INSERT 易受注入(inject)攻击？-6ren

PHP、PDO、MySQL - 多个 INSERT 易受注入(inject)攻击？

转载作者：太空宇宙更新时间：2023-11-03 11:49:09

25

4

<分区>

在我的应用程序 (PHP) 中，我将从 API 请求约 3000 行，并使用 PDO 驱动程序将这些插入到 MySQL 表中。

虽然要插入的数据不是用户输入的，但我无法控制数据是如何传递给我的。

因为 ~3000 次插入尽可能快很重要，所以我想使用像这样的多次插入 (?,?,?),(?,?,?),....

我想知道执行多重插入是否对 MySQL 注入(inject)漏洞有影响？因为我使用 PHP 代码“构建”查询。

我的“测试”代码是:

<?php

    class DBCon {
        private static $instance = null;
        private $db;

        private function __construct() {
            $this->db = new PDO('mysql:host=localhost;dbname=test;charset=utf8mb4', 'root', '');
            $this->db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
            $this->db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
        }

        public static function getDB() {
            if (self::$instance === null) {
                self::$instance = new self();
            }
            return self::$instance->db;
        }
    }

    function createItems($array) {
        $sql = 'INSERT INTO `table`(`text`, `int`, `bool`) VALUES ';

        $insertArray = array();
        foreach ($array as $arrayItem) {
            $sql .= '(';
            foreach ($arrayItem as $arrayItemItem) {
                array_push($insertArray, $arrayItemItem);
                $sql .= '?,';
            }
            $sql = rtrim($sql, ',');
            $sql .= '),';
        }
        $sql = rtrim($sql, ',');

        var_dump($sql);
        var_dump($insertArray);

        try {
            $query = DBCon::getDB()->prepare($sql);
            $query->execute($insertArray);
        } catch (PDOException $e) {
            echo '<br/><br/>query failure';
        }
    }

    $array = array(array('a piece of text',123,0),array('a piece of text',123,0));

    createItems($array);

$sql 包含:

index.php:36:string 'INSERT INTO `table`(`text`, `int`, `bool`) VALUES (?,?,?),(?,?,?)' (length=65)

$insertArray 包含:

index.php:37:
array (size=6)
  0 => string 'a piece of text' (length=15)
  1 => int 123
  2 => int 0
  3 => string 'a piece of text' (length=15)
  4 => int 123
  5 => int 0

25

4

0

文章推荐： c# - ItemStyle-VerticalAlign ="Middle"在 asp :GridView 中不起作用

文章推荐： android - 从 Android 中的服务使用 SQLite 数据库

文章推荐： android - 微调器错误 "Spinner adapter view type count must be 1"

文章推荐： python - Django:ModelSerializer 的自定义字段映射

pdo - PDO For Each 循环中的非法字符串偏移
PHP查询: prepare('SELECT * FROM Locations WHERE user_id = :id LIMIT 0, 5'); $query->bindParam(":id
php - PDO->bindParam、PDO->bindValue 和 PDO->closeCursor
到目前为止我一直在使用 PDO->bindParam 但是在阅读手册时我发现 PDO->bindValue 我可以告诉 PDO->bindValue 按值传递，而 PDO->bindParam 按引用
pdo - 带有特殊字符的 PHP PDO
我使用PDO进行MySQL数据库连接、选择、更新和删除。但是我在选择带有特殊字符的行时遇到问题，例如，我想选择带有“Judge-Fürstová Mila”的页面标题，表页， id titl
pdo - 为什么不能禁用 PDO::ATTR_EMULATE_PREPARES？
我使用的是 PHP 5.2.9 和 Apache 2.2.11 以及 mysql 5.1.32 为什么我不能禁用 PDO::ATTR_EMULATE_PREPARES ？下面是代码: false)
php - 使用 PDO::ATTR_PERSISTENT = true 时，PDO::exec 和 PDO::query 之间有区别吗？
当 PDO::ATTR_PERSISTENT = true 时，PDO::exec 和 PDO::query 之间似乎存在差异。当使用PDO::exec时，连接将不会被重用，并最终导致MySQL出现“
pdo - Zend PDO ODBC 数据库选择
我正在尝试调整 Zend Skeleton App 以使用 ODBC 连接。我能够在 Zend 之外设置 PDO 连接(同一个表、服务器、所有内容)，如下所示: new PDO('odbc:DRIVE
PHP PDO - 实例化 PDO 对象时使用未定义的常量变量
我正在使用 XAMPP 3.2.1 在 Windows 7 上使用 PDO，但在使其正常工作时遇到问题，即使它可以在我的共享托管服务器。 settings.php db.php setAttribu
php - PDO，使用带转义的 PDO 获取内容并回显它
我正在尝试使用以下代码从 get 变量中获取结果，我使用了另一个代码(在下面列出)并且它有效但是在使用它时无法逃脱，我不知道我有什么做错了，但我需要帮助，我刚刚开始 PDO，所以是的，我是个白痴 :D
php - PDO::setAttribute() 似乎不会影响新的 PDO()？
我有这个代码 try { $dbh = new PDO('mysql:host=localhost;dbname=db_informations', 'root', ''); $dbh
php - PDO 忽略共享主机上的 PDO::CASE_NATURAL
在我的本地开发机器 (MAMP) 上，我的 MySQL 查询返回正确的大小写。但是，在我的共享托管服务器上，使用 fetch(PDO::FETCH_ASSOC); 时，我的结果是小写的我试过以下方法
php - PDO:PDO::MYSQL_ATTR_INIT_COMMAND 中的多个命令
我正在使用这个 PDO 连接: try{ $db=new PDO(" mysql:host=localhost; dbname=...", "dbu...", "pass", array(PDO::M
PHP PDO - 无法序列化或反序列化 PDO 实例
我需要将 PDO 连接从 controller 传递到 cart 类， function __construct($connection) { $this->cart = new cart($
php - PDO 事务是否涵盖 PDO::query()？
位于 PHP.net 的 PDO 交易示例表明 PDO::exec() 是事务处理的，但是没有这样的例子使用 PDO::query()。事务是否涵盖 PDO::query()？此外，据我所知，PD
pdo - MAMP Pro 和 PDO-dblib
几天来我一直在使用来自 http://www.mamp.info 的 MAMP Pro 3.07 . 很棒的工具，一切正常。但是现在我遇到了问题，对于一个新项目，我需要连接到 MSSQL。我在 w
pdo - 使用 PDO 连接 Mysql 数据库不起作用
我正在尝试在我的 PHP 代码中使用 PDO 模块来连接到数据库。我已经阅读并搜索了类似的主题，但我无法弄清楚我做错了什么。请帮我解决问题。 Apache版本:Apache/2.2.21 (Win32
php - 在 PDO 连接字符串中使用常量并使用 PDO 连接调用函数
这个问题不太可能帮助任何 future 的访问者；它只与一个小的地理区域、一个特定的时间点或一个非常狭窄的情况有关，这些情况并不普遍适用于互联网的全局受众。为了帮助使这个问题更广泛地适用，visit
php - PDO::exec 还是 PDO::execute？
我使用 PDO 连接到我的数据库，我不知道哪种方法比更新、删除和插入、PDO::exec 或 PDO::excute 的另一种方法更好。我应该使用哪个？最佳答案虽然这两种方法具有相似的命名(exe
pdo - 如何在 Codeigniter 中将属性设置为 PDO 连接
如何在 Codeigniter 中设置 PDO 数据库句柄的属性(PDO::ATTR_ERRMODE)？最佳答案我认为更好的选择是使用 MY_Model(然后您对其进行扩展，然后它在整个应用程序中
php - PDO fetch 方法改变了 pdo 对象本身
从 mysql 切换到 PDO 我注意到 fetch 方法改变了 PDO 对象本身!例如: $res=$ps->fetchAll(); echo($res[0]['Mail']); //it'ok /
php - 为什么我的 PDO 对象返回对象(PDO)[2]
嗨，我正在使用 PDO 为 mysql 开发一个基本的数据库连接类，但是当我 var dump 返回结果时，它告诉我我有 2 个对象:object(PDO)[2]。不应该只有一个吗？这是迄今为止我的

首页

博学

6Ren·AI

商城

PHP、PDO、MySQL - 多个 INSERT 易受注入(inject)攻击？