mysql - php PDO的模拟预编译语句和本地预处理语句区别-PHP中文网问答

讲师中心微信公众号

首页

文章

后端开发 web前端数据库开发工具 php框架常见问题人工智能 Java 系统教程电脑教程硬件教程手机教程软件教程游戏教程自媒体新闻

专题

后端开发 web前端数据库开发工具 php框架人工智能 Java 系统教程电脑教程硬件教程手机教程软件教程游戏教程新闻

AI工具

AI 聊天问答 Agent智能体 AI 文本写作 AI 绘画作图 AI 设计工具 AI 视频创作 AI 音频制作 AI 办公学习 AI 编程开发 AI 提示词

学习

大前端后端开发数据库移动端运维开发计算机基础

编程手册

大前端后端开发数据库移动端运维开发计算机基础

下载

js特效网站源码工具下载类库下载网站素材学习资源插件扩展手机游戏

最近更新

mysql - php PDO的模拟预编译语句和本地预处理语句区别

怪我咯 2017-04-11 10:14:36

[PHP讨论组]

716

今天得知php中使用pdo的时候,并不一定能避免sql注入的问题,PDO::ATTR_EMULATE_PREPARES,默认是true,通过查资料我得知如果这里是true,则启动模拟预编译,false则使用本地预处理语句,网上其他资料告知:如果是模拟预编译的话,则还是可能导致sql注入,请大神赐教这两种编译的区别,还有如果还是可能导致sql注入的话,为什么其他资料上从为提及过这个问题?是否开发的时候时候pdo也需要加上这句
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES,false)才能达到真正意义上的防sql注入?

怪我咯

走同样的路，发现不同的人生

全部回复(2)

ringa_lee2017-04-11 10:16:36 2楼

开发的时候最好是加上这句$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES,false)，这样如果支持本地预处理则会使用本地预处理，在不支持的情况下会自动使用模拟预处理方式。

使用模拟预处理的方式是在客户端本地执行预处理的模拟，最终将拼好的sql语句发送到mysql服务器进行执行（实际上就是完成了字符串拼接，据说对表名使用占位符会出现sql注入，我没有验证过），mysql会对sql进行parsing->resolution->optimization->execution。使用本地预处理方式则是分两步：第一步是prepare阶段，发送带有占位符的sql语句到mysql服务器（parsing->resolution），然后就可以多次发送占位符参数给mysql服务器进行执行（多次执行optimization->execution）。

使用模拟预处理方式实际上就是一次发送完整的sql给mysql执行，不需要mysql做额外处理（如保存会话状态等），因此性能比较好一些，而使用本地预处理则需要多次发送，mysql服务器需要保存会话状态，性能上会有一些损耗。

另外，使用本地预处理的一个好处是在prepare阶段就能检测出sql语句的错误，而使用模拟的预处理方式制定在exec阶段才能发现（因为模拟方式拼接好sql在exec阶段才会发送到mysql服务器）。

总之，为了安全，那一点性能损耗算得了什么，如果没有什么理由不加，那还是加上吧。

赞 +0

添加回复

天蓬老师2017-04-11 10:16:36 1楼

为什么PDO默认要模拟预处理,就是因为有些数据库如SQLite不支持预处理.
模拟预处理也是能防止SQL注入的,如果不能,请举例.
像medoo.php这个基于PDO的查询构造器(Query Builder)封装,
medoo连PDO预处理参数化查询都没有使用,
直接就是PDO::quote转义用户输入后,用query/exec执行查询.
我理解的模拟预处理本质就是PDO::quote.
MySQLi中类似PDO::quote的东西叫做mysqli_real_escape_string.

function get_posts_by_ids(array $ids) {
    global $app;
    $db = db();
    $table = $app['db_prefix'].'post';
    $place_holders = implode(',', array_fill(0, count($ids), '?'));
    //SELECT * FROM `post` WHERE `id` IN ('1','3','5') 包含三个参数
    $sql = "SELECT * FROM `{$table}` WHERE `id` IN ({$place_holders})";
    $stmt = $db->prepare($sql); $stmt->execute($ids); //所有id都当做字符串处理,值传递.
    return $stmt->fetchAll(PDO::FETCH_ASSOC);
}

赞 +0

添加回复

专题推荐

更多>

热门话题

热门教程

更多>