壞蛋的部落格

瞭解了,個人理解:最終的目地就是要把SQL指令中變數所帶入的內容完全變成字串(包含特殊符號)
或者強制禁止只用任何特殊字元,至於方法就看個人經驗和功力了(要假設相當多的可能),
保險起見可以多做幾道,甚至不排除過濾掉高風險的指令比如DROP(看情況拉)

其實就算有bindValue()
有時候還是有些東西不好搞
比方這2個傢伙 %,_
關於Like的運算符是無法處理的~"~
所以在某些應用中為了閉開這個問題..不得加個自定函數
public function escape_like_string($str)
{
while(strpos($str,’%')!==false or strpos($str,’_')!==false)
{
$str=str_replace(array(‘%’,'_’),",$str);
}
return $str;
}
雖然目前這樣處理,可是我總覺得事情不是這麼一回事..可能有些概念上沒轉過去吧?

@pigo
前後都萬用符其實比較少見,因為大家知道前面放%的話mysql會無視索引遍歷資料表
通常是用在select上沒錯
比較忌諱的結果是這種型態
$keyword = $_GET['keyword'] . ‘%’;
SELECT * FROM `users` WHERE `login` LIKE :keyword
同樣輸入%,結果雖然一樣,但這問題的真正意義在於,
這樣設計的原本目的是希望能夠在使用keyword時,還能利用索引
不得已還是得防阿 ~"~

$sql = "SELECT * FROM users WHERE user_id=?";
$sth = $pdo->prepare($sql);
$sth->execute( array($user_id) );

大大你好 我是在查詢PDO sql injection 防範時看到您的文章
我已經爬過文大概了解PDO連線方式
可是 我還是不知道為什麼 使用prepare()進行資料庫串列產生
在使用execute進行資料綁定可以預防 sql injection
因為我已經看過很多次 跟GOOGLE很多次
還是沒有很了解 所以想說留言詢問
是在做prepare()
還是execute( )
哪一個方法 可以預防sql injection
我本身也很重視資訊安全 最近要開發一個專案所以努力在尋求這答案~
感謝大大看完我留言~

經過看了6次您的回文 我稍微寫一下我的想法
像您說的 已經被學校或者外面書本教育到使用傳統連線已經習慣~
而且效率相當低 所以特別來找尋PDO相關的連線方式~

所以我稍微的去GOOGLE 找斷一段語法
// 組合 SQL 語法，取得符合 id = 2、name = ‘John’ 的資料
$sth = $dbh->prepare(‘SELECT * FROM table WHERE id = :id AND name = :name’);
$where = array(‘:id’ => 2, ‘:name’ => ‘John’);

// 使用 execute()，會自動 quote $where 的參數
$sth->execute($where);

所以簡單講~假設使用 prepare() 是做為宣告此資料庫連線，
然後使用 execute()做綁定動作時 execute()會自動quote傳入的變數達到簡短程式碼增加效率，

因為小弟目前是剛畢業的PHP 程式設計師，
每天用最多的 就是資料庫連線， 所以最近把PDO物件導向化，
希望把資料庫連線簡短且有效率，而不是寫得又臭又長又難維護，
查到 SQL Injection才來詢問您，還希望大大有機會可以認識認識，
因為對於台灣的資訊安全教育，我也真的很擔心所以目前在瘋狂的自我補強。

且你上面提到的 PDOStatment 也讓程式有比較方便或彈性的設計
其實我看到那段語法就想說 假設資料庫連線的宣告都先做成方法
例如 要使用 User Table時就Query(In User,$sql);
$sql=array(‘:id’ => 2, ‘:name’ => ‘John’);
把$sql帶入In User Table 這樣去就可以在下次使用時隨意更換資料庫
我這想法是不是就是你說的PDOStatment方便或彈性的設計嗎?

恩 我目前使用的方式就是您說的
物件化 資料庫連線物件

之後再使用那問件去執行其他方法 只是最近在想該怎樣做可以做到防sql injection
且效能高 又不會很難維護的方法~ 目前已經有個大方向了~

HI~我又來了 大大我遇到一個我無解的問題 想說可以詢問你看看~
function NewSqlGo($SqlLink=NULL,$Parameters=NULL){
try{
$sth = $this->dbh->prepare($SqlLink);
$sth->execute($Parameters);

//print_r($sth->errorInfo()); //這裡可以輸出錯誤

} catch (PDOException $e) {
/*連線例外方法
===========================*/
echo "例外";
print_r( $e->errorInfo());
}
//$this->dbh =NULL;//關閉連線
}

這是我寫的一個連線方法 在最上面已經有產生資料庫連線
然而我故意傳入一個錯誤的資料庫 然而只有在TRY 那邊使用 $sth->errorInfo()
才會顯現錯誤語法~

然後在例外處理部分使用$e去接 並把它導向errorInfo()要列印出錯誤
結果
不管是
echo "例外"
或者 $e->errorInfo() 都沒有顯現資料

想說問大大能不能為我解惑~

感謝大大提供全英文資訊~ 哈哈
我對於英文部分真的還要繼續加強~~

不管怎樣 感謝您~~~

哈阿哈哈
以前學校沒教
我是到恆逸上課才學的

我去面試也有被問到這題
考試也有考

借轉喔!!!!

我認為 把SQL injection 丟給PDO prepare處理
並不算懂怎麼過濾
真正的懂 是能用正規式 自己replace