PDO アンチインジェクション原理の分析と注意事項、PDO インジェクション_PHP チュートリアル
PDO アンチインジェクション原理の分析と注意事項、PDO インジェクション
PDO が合理的かつ正しく使用されている限り、基本的に SQL インジェクションを防止できることは誰もが知っています。この記事は主に次の 2 つの質問に答えます。
なぜ mysql_connect の代わりに PDO を使用するのですか?なぜ PDO はアンチインジェクションなのですか?
PDO アンチインジェクションを使用する際に特に注意すべきことは何ですか?
1. PDO の使用を優先する必要があるのはなぜですか?
PHP マニュアルには明確に記載されています:
より成熟したデータベースの多くは、プリペアド ステートメントの概念をサポートしています。プリペアド ステートメントは、アプリケーションが実行する SQL のコンパイル済みテンプレートの一種と考えることができ、変数パラメーターを使用してカスタマイズできます。主な利点:
クエリを解析 (または準備) する必要があるのは 1 回だけですが、同じまたは異なるパラメーターを使用して複数回実行できます。クエリが準備されると、データベースは複雑なクエリを実行するための計画を分析、コンパイル、最適化します。クエリの実行には十分な時間がかかるため、異なるパラメーターを使用して同じクエリを何度も繰り返す必要がある場合、アプリケーションは分析、コンパイル、最適化のサイクルを繰り返す必要がなくなります。つまり、準備されたステートメントは使用するリソースが少なくなるため、より高速に実行されます。
プリペアド ステートメントのパラメータを引用符で囲む必要はありません。アプリケーションがプリペアド ステートメントのみを使用する場合、開発者は SQL インジェクションが発生しないことを確認できます (ただし、クエリの他の部分が使用されている場合)。エスケープされていない入力で構築されているため、SQL インジェクションは依然として可能です)。
PDO の prepare メソッドを使用しても、主に同じ SQL テンプレートのクエリ パフォーマンスを向上させ、SQL インジェクションを防ぎます
同時にPHPマニュアルに警告メッセージが記載されています
これは、PHP 5.3.6 以前のバージョンでは、DSN の文字セット定義がサポートされていないことを意味し、代わりに、初期 SQL を設定するために PDO::MYSQL_ATTR_INIT_COMMAND を使用する必要があります。これは、一般的に使用される set names gbk コマンドです。
データベースクエリを実行する前に、SQL 内の select、union、... などのキーワードをクリーンアップする方法もあります。このアプローチは明らかに間違った対処方法であり、提出されたテキストに学生組合が含まれている場合、置き換えによって元の内容が改ざんされ、無実の人々が無差別に殺害されることになるため、お勧めできません。
2. PDO が SQL インジェクションを防止できるのはなぜですか?
まず次の PHP コードを見てください:
$name = '張三';
$st->bindParam(1,$id);
$st->bindParam(2,$name);
$st->execute();
$st->fetchAll();
?>
環境は以下の通りです
PHP 5.4.7
MySQL プロトコル バージョン 10
MySQL サーバー 5.5.27
PHP と MySQL サーバー間の通信の詳細を徹底的に理解するために、調査用に特別に Wireshark を使用してパケットをキャプチャしました。次に示すように、Wireshak をインストールした後、フィルター条件を tcp.port==3306 に設定しました。
Wireshak は wincap ドライバーに基づいており、ローカル ループバック インターフェイスでのリッスンをサポートしていないことに注意することが重要です (PHP を使用してローカル mysql に接続しても、リッスンすることはできません) 他のマシン (仮想マシン) に接続してください。ブリッジされたネットワークを使用することも可能です) テスト用の MySQL。
次に、PHP プログラムを実行します。リスニング結果は次のとおりです。PHP は単に SQL を MySQL サーバーに直接送信しているだけであることがわかりました。
実際、これは mysql_real_escape_string を使用して文字列をエスケープし、SQL ステートメントに結合するのと何ら変わりません (明らかに、この場合でも SQL インジェクションは可能です)。 PHP がクエリを操作するために pdo prepare で mysql_real_escape_string をローカルに呼び出すと、ローカルのシングルバイト文字セットが使用され、マルチバイトでエンコードされた変数を渡すと、依然として SQL インジェクションの脆弱性が発生する可能性があると言われています (php バージョン 5.3.6 より前の場合)この問題の 1 つは、PDO を使用する場合、php 5.3.6 以降にアップグレードし、DSN 文字列 で文字セットを指定することが推奨される理由を説明しています。
コードをコピーします
$stmt = $pdo->prepare($query);
$stmt->execute(array($var));
その理由は上記の分析と一致しています。
それでは、PHP ローカル エスケープを無効にして、MySQL Server にエスケープさせるにはどうすればよいでしょうか?
PDO には PDO::ATTR_EMULATE_PREPARES という名前のパラメータがあり、PHP を使用してローカルでの準備をシミュレートするかどうかを示します。このパラメータのデフォルト値は不明です。先ほど確認したパケット キャプチャと分析の結果によると、PHP 5.3.6 以降は依然としてデフォルトでローカル変数を使用し、それらを SQL に結合して MySQL サーバーに送信します。この値を false に設定して効果を試してみます。次のコード内:
コードをコピーします$id = 21;
$name = '張三';
$st->bindParam(1,$id);
$st->bindParam(2,$name);
$st->execute();
$st->fetchAll();
?>
赤い線は追加した内容です。次のプログラムを実行し、Wireshark を使用してパケットをキャプチャして分析します。結果は次のとおりです。
見ましたか?これが魔法です。今回は、PHP が SQL テンプレートと変数を 2 回に分けて MySQL に送信し、MySQL が変数のエスケープを完了することがわかります。 SQL インジェクションの問題は解決されましたが、DSN で次のように charset 属性を指定する必要があります:
コードをコピーします
コードは次のとおりです:
このようにして、SQL インジェクションの問題を根本的に解決できます。これについてよくわからない場合は、zhangxugg@163.com に電子メールを送信して、一緒に話し合うことができます。
3. PDOを使用する際の注意点
上記の点を理解した後、PDO を使用して SQL インジェクションを防ぐためのいくつかの注意事項をまとめることができます。
1. php を 5.3.6 以降にアップグレードします。実稼働環境では、php 5.3.9 以降および php 5.4 以降にアップグレードすることを強くお勧めします。2. php 5.3.6以降を使用している場合は、PDOのDSNにcharset属性を指定してください
3. PHP 5.3.6 以前のバージョンを使用している場合は、PDO::ATTR_EMULATE_PREPARES パラメーターを false に設定します (つまり、ローカルを使用しているかどうかにかかわらず、変数処理は MySQL によって実行されています)。シミュレーションの準備または mysql サーバーの準備を呼び出すことができます。 DSN での文字セットの指定は無効であり、セット名
4. PHP 5.3.6 以前のバージョンを使用している場合、Yii フレームワークはデフォルトで ATTR_EMULATE_PREPARES の値を設定しないため、データベース設定ファイルで EmulatePrepare の値を false に指定してください。
そこで質問がありますが、DSN で charset が指定されている場合でも、set names
はい、保存できません。 set names
A. クライアント (PHP プログラム) が送信したエンコーディングを mysql サーバーに伝えます
B. mysql サーバーに、クライアントが必要とする結果のエンコーディングを通知します
言い換えると、データテーブルが gbk 文字セットを使用し、PHP プログラムが UTF-8 エンコーディングを使用する場合、プログラム内でエンコーディング変換を行わずに、クエリを実行する前に set names utf8 を実行して、mysql サーバーに正しくエンコードするように指示できます。 。このようにして、クエリを utf-8 エンコーディングで mysql サーバーに送信し、取得される結果も utf-8 エンコーディングになります。これにより、プログラム内の変換エンコードの問題が解消され、文字化けしたコードが生成されることはありません。
それでは、DSN で文字セットを指定する役割は何でしょうか? これは、ローカルドライバーがエスケープするときに指定された文字セットを使用することを PDO に伝えるだけです (mysql サーバーの通信文字セットを設定するわけではありません)。
一部の新しいプロジェクトが PDO を使用せず、従来の mysql_XXX 関数ライブラリを使用する理由が本当にわかりません。 PDO を正しく使用すれば、SQL インジェクションを根本的に排除することができます。各企業の技術リーダーおよび最前線の技術研究開発担当者は、この問題に注意を払い、プロジェクトの進捗と安全性の品質を向上させるために、可能な限り PDO を使用することを強くお勧めします。 。
独自の SQL インジェクション フィルタリング関数ライブラリを作成しようとしないでください (面倒で、未知の脆弱性が簡単に作成される可能性があります)。
上記はこの記事の全内容です。非常に実践的ですので、ぜひ読んでください。

ホットAIツール

Undresser.AI Undress
リアルなヌード写真を作成する AI 搭載アプリ

AI Clothes Remover
写真から衣服を削除するオンライン AI ツール。

Undress AI Tool
脱衣画像を無料で

Clothoff.io
AI衣類リムーバー

Video Face Swap
完全無料の AI 顔交換ツールを使用して、あらゆるビデオの顔を簡単に交換できます。

人気の記事

ホットツール

メモ帳++7.3.1
使いやすく無料のコードエディター

SublimeText3 中国語版
中国語版、とても使いやすい

ゼンドスタジオ 13.0.1
強力な PHP 統合開発環境

ドリームウィーバー CS6
ビジュアル Web 開発ツール

SublimeText3 Mac版
神レベルのコード編集ソフト(SublimeText3)

ホットトピック











PHP は、長い間使用されている人気のある Web 開発言語です。 PHP に統合された PDO (PHP Data Object) クラスは、Web アプリケーションの開発中にデータベースと対話する一般的な方法です。ただし、一部の PHP 開発者がよく遭遇する問題は、PDO クラスを使用してデータベースと対話するときに、次のようなエラーが表示されることです。

PHP は人気のあるプログラミング言語として、Web 開発の分野で広く使用されています。その中でも、PHP の PDO_PGSQL 拡張機能は一般的に使用されている PHP 拡張機能で、PostgreSQL データベースとの対話型インターフェイスを提供し、PHP と PostgreSQL 間のデータ送信と対話を実現できます。この記事では、PHPのPDO_PGSQL拡張機能の使い方を詳しく紹介します。 1. PDO_PGSQL 拡張機能とは何ですか? PDO_PGSQL は PHP の拡張ライブラリです。

PHP と PDO: バッチ挿入およびバッチ更新を実行する方法 はじめに: PHP を使用してデータベース関連アプリケーションを作成する場合、データをバッチ挿入および更新する必要がある状況によく遭遇します。従来のアプローチでは、ループを使用して複数のデータベース操作を実行しますが、この方法は非効率的です。 PHP の PDO (PHPDataObject) は、バッチ挿入および更新操作を実行するためのより効率的な方法を提供します。この記事では、PDO を使用してバッチ挿入および更新操作を実装する方法を紹介します。 1. PDO の概要: PDO は PH です

PHP と PDO: ページ内のデータをクエリして表示する方法 Web アプリケーションを開発する場合、ページ内のデータをクエリして表示することは非常に一般的な要件です。ページングにより、一度に一定量のデータを表示できるため、ページの読み込み速度とユーザー エクスペリエンスが向上します。 PHP では、PHP データ オブジェクト (PDO) ライブラリを使用して、ページング クエリとデータの表示の機能を簡単に実現できます。この記事では、PHP で PDO を使用してページごとにデータをクエリおよび表示する方法と、対応するコード例を紹介します。 1. データベースとデータテーブルを作成する

PDOPDO は、PHP に統合インターフェイスを提供するオブジェクト指向のデータベース アクセス抽象化レイヤーであり、同じコードを使用して異なるデータベース (Mysql、postgresql、oracle など) と対話できるようにします。 PDO は、基礎となるデータベース接続の複雑さを隠し、データベース操作を簡素化します。長所と短所 長所: 統一されたインターフェイス、複数のデータベースのサポート、データベース操作の簡素化、開発の困難さの軽減、プリペアドステートメントの提供、セキュリティの向上、トランザクション処理のサポート 短所: パフォーマンスはネイティブ拡張よりわずかに低い場合があり、外部ライブラリに依存し、オーバーヘッドが増加する可能性があります。デモ コードでは PDO を使用します。 mysql データベースに接続します: $db=newPDO("mysql:host=localhost;dbnam

PHP と PDO: データベースで全文検索を実行する方法 最新の Web アプリケーションでは、データベースは非常に重要なコンポーネントです。全文検索は、大量のデータから特定の情報を検索する必要がある場合に非常に便利な機能です。 PHP および PDO (PHPDataObjects) は、データベース内で全文検索を実行するためのシンプルかつ強力な方法を提供します。この記事では、PHP と PDO を使用して全文検索を実装する方法を紹介し、そのプロセスを示すサンプル コードをいくつか紹介します。初め

PHP と PDO: データベースで JSON データを処理する方法 現代の Web 開発では、大量のデータを処理して保存することが非常に重要なタスクです。モバイル アプリケーションとクラウド コンピューティングの人気に伴い、JSON (JavaScript Object Notation) 形式でデータベースに保存されるデータがますます増えています。一般的に使用されるサーバー側言語として、PHP の PDO (PHPDataObject) 拡張機能は、データベースを処理および操作するための便利な方法を提供します。本

PHP と PDO: データベースのバックアップと復元操作を実行する方法 Web アプリケーションを開発する場合、データベースのバックアップと復元は非常に重要なタスクです。人気のあるサーバー側スクリプト言語として、PHP は豊富なライブラリと拡張機能を提供しており、その中の PDO (PHP Data Objects) は強力なデータベース アクセス抽象化レイヤーです。この記事では、PHP と PDO を使用してデータベースのバックアップと復元の操作を実行する方法を紹介します。ステップ 1: データベースに接続する 実際の操作の前に、データベースへの接続を確立する必要があります。 PDOペアを使用する
