使用傳統(tǒng)的 mysql_connect 、mysql_query方法來(lái)連接查詢
數(shù)據(jù)庫(kù)時(shí)，如果過(guò)濾不嚴(yán)緊，就有
SQL注入風(fēng)險(xiǎn)。雖然可以用mysql_real_escape_string()函數(shù)過(guò)濾用戶提交的值，但是也有缺陷。而使用PHP的PDO擴(kuò)展的 prepare 方法，就可以避免sql injection 風(fēng)險(xiǎn)。
PDO(PHP Data Object) 是PHP5新加入的一個(gè)重大功能，因?yàn)樵赑HP 5以前的php4/php3都是一堆的數(shù)據(jù)庫(kù)擴(kuò)展來(lái)跟各個(gè)數(shù)據(jù)庫(kù)的連接和處理，如 php_mysql.dll。 PHP6中也將默認(rèn)使用PDO的方式連接，mysql擴(kuò)展將被作為輔助 。官方地址：http://php.net/manual/en/book.pdo.php
1. PDO配置
使用PDO擴(kuò)展之前，先要啟用這個(gè)擴(kuò)展，php.ini中，去掉"extension=php_pdo.dll"前面的";"號(hào)，若要連接數(shù)據(jù)庫(kù)，還需要去掉與PDO相關(guān)的數(shù)據(jù)庫(kù)擴(kuò)展前面的";"號(hào)（一般用的是php_pdo_mysql.dll），然后重啟Apache服務(wù)器即可。
extension=php_pdo.dll
extension=php_pdo_mysql.dll
2. PDO連接mysql數(shù)據(jù)庫(kù)
$dbh = new PDO("mysql:host=localhost;dbname=mydb","root","password");
默認(rèn)不是長(zhǎng)連接，若要使用數(shù)據(jù)庫(kù)長(zhǎng)連接，可以在最后加如下參數(shù)：
$dbh = new PDO("mysql:host=localhost;dbname=mydb","root","password","array(PDO::ATTR_PERSISTENT => true) ");
$dbh = null; //(釋放)
3. PDO設(shè)置屬性
PDO有三種錯(cuò)誤處理方式：
PDO::ERrmODE_SILENT不顯示錯(cuò)誤信息，只設(shè)置錯(cuò)誤碼
PDO::ERrmODE_WARNING顯示警告錯(cuò)
PDO::ERrmODE_EXCEPTION拋出異常
可通過(guò)以下語(yǔ)句來(lái)設(shè)置錯(cuò)誤處理方式為拋出異常
$db->setAttribute(PDO::ATTR_ERrmODE, PDO::ERrmODE_EXCEPTION);
因?yàn)椴煌瑪?shù)據(jù)庫(kù)對(duì)返回的字段名稱大小寫處理不同，所以PDO提供了PDO::ATTR_CASE設(shè)置項(xiàng)（包括PDO::CASE_LOWER，PDO::CASE_NATURAL，PDO::CASE_UPPER），來(lái)確定返回的字段名稱的大小寫。
通過(guò)設(shè)置PDO::ATTR_ORACLE_NULLS類型（包括PDO::NULL_NATURAL，PDO::NULL_EmpTY_STRING，PDO::NULL_TO_STRING）來(lái)指定數(shù)據(jù)庫(kù)返回的NULL值在php中對(duì)應(yīng)的數(shù)值。
4. PDO常用方法及其應(yīng)用
PDO::query() 主要是用于有記錄結(jié)果返回的操作，特別是SELECT操作
PDO::exec() 主要是針對(duì)沒(méi)有結(jié)果集合返回的操作，如INSERT、UPDATE等操作
PDO::prepare() 主要是預(yù)處理操作，需要通過(guò)$rs->execute()來(lái)執(zhí)行預(yù)處理里面的SQL語(yǔ)句，這個(gè)方法可以綁定參數(shù)，功能比較強(qiáng)大（防止sql注入就靠這個(gè)）
PDO::lastInsertId() 返回上次插入操作，主鍵列類型是自增的最后的自增ID
PDOStatement::fetch() 是用來(lái)獲取一條記錄
PDOStatement::fetchAll() 是獲取所有記錄集到一個(gè)集合
PDOStatement::fetchColumn() 是獲取結(jié)果指定第一條記錄的某個(gè)字段，缺省是第一個(gè)字段
PDOStatement::rowCount() :主要是用于PDO::query()和PDO::prepare()進(jìn)行DELETE、INSERT、UPDATE操作影響的結(jié)果集，對(duì)PDO::exec()方法和SELECT操作無(wú)效。 5.PDO操作MYSQL數(shù)據(jù)庫(kù)實(shí)例
<?php $pdo = new PDO("mysql:host=localhost;dbname=mydb","root",""); if($pdo -> exec("insert into mytable(name,content) values('fdipzone','123456')")){ echo "insert success"; echo $pdo -> lastinsertid(); } ?> <?php $pdo = new PDO("mysql:host=localhost;dbname=mydb","root",""); $rs = $pdo -> query("select * from table"); $rs->setFetchMode(PDO::FETCH_ASSOC); //關(guān)聯(lián)數(shù)組形式 //$rs->setFetchMode(PDO::FETCH_NUM); //數(shù)字索引數(shù)組形式 while($row = $rs -> fetch()){ print_r($row); } ?> <?php foreach( $db->query( "SELECT * FROM table" ) as $row ) { print_r( $row ); } ?> |
統(tǒng)計(jì)有多少行數(shù)據(jù)：
<?php $sql="select count(*) from table"; $num = $dbh->query($sql)->fetchColumn(); ?> |
prepare方式：
<?php $query = $dbh->prepare("select * from table"); if ($query->execute()) { while ($row = $query->fetch()) { print_r($row); } } ?> |
prepare參數(shù)化查詢：
<?php $query = $dbh->prepare("select * from table where id = ?"); if ($query->execute(array(1000))) { while ($row = $query->fetch(PDO::FETCH_ASSOC)) { print_r($row); } } ?> |
使用PDO訪問(wèn)MySQL數(shù)據(jù)庫(kù)時(shí)，真正的real prepared statements 默認(rèn)情況下是不使用的。為了解決這個(gè)問(wèn)題，你必須禁用 prepared statements的仿真效果。下面是使用PDO創(chuàng)建鏈接的例子：
<?php
$dbh = new PDO('mysql:dbname=mydb;host=127.0.0.1;charset=utf8', 'root', 'pass');
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
?>
setAttribute()這一行是強(qiáng)制性的，它會(huì)告訴 PDO 禁用模擬預(yù)處理語(yǔ)句，并使用 real parepared statements 。這可以確保SQL語(yǔ)句和相應(yīng)的值在傳遞到mysql服務(wù)器之前是不會(huì)被PHP解析的（禁止了所有可能的惡意SQL注入攻擊）。
雖然你可以配置文件中設(shè)置字符集的屬性(charset=utf8)，但是需要格外注意的是，老版本的 PHP（ < 5.3.6）在DSN中是忽略字符參數(shù)的。
完整的代碼使用實(shí)例：
<?php $dbh = new PDO("mysql:host=localhost; dbname=mydb", "root", "pass"); $dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果 $dbh->exec("set names 'utf8'"); $sql="select * from table where username = ? and password = ?"; $query = $dbh->prepare($sql); $exeres = $query->execute(array($username, $pass)); if ($exeres) { while ($row = $query->fetch(PDO::FETCH_ASSOC)) { print_r($row); } } $dbh = null; ?> |
上面這段代碼就可以防范sql注入。為什么呢？
當(dāng)調(diào)用 prepare() 時(shí)，查詢語(yǔ)句已經(jīng)發(fā)送給了數(shù)據(jù)庫(kù)服務(wù)器，此時(shí)只有占位符 ? 發(fā)送過(guò)去，沒(méi)有用戶提交的數(shù)據(jù)；當(dāng)調(diào)用到 execute()時(shí)，用戶提交過(guò)來(lái)的值才會(huì)傳送給數(shù)據(jù)庫(kù)，它們是分開傳送的，兩者獨(dú)立的，SQL攻擊者沒(méi)有一點(diǎn)機(jī)會(huì)。
但是我們需要注意的是以下幾種情況，PDO并不能幫助你防范SQL注入。
不能讓占位符 ? 代替一組值，這樣只會(huì)獲取到這組數(shù)據(jù)的第一個(gè)值，如：
select * from table where userid in ( ? );
如果要用in來(lái)查找，可以改用find_in_set()實(shí)現(xiàn)
$ids = '1,2,3,4,5,6';
select * from table where find_in_set(userid, ?);
不能讓占位符代替數(shù)據(jù)表名或列名，如：
select * from table order by ?;
不能讓占位符 ? 代替任何其他SQL語(yǔ)法，如：
select extract( ? from addtime) as mytime from table;