转义pdo查询，这是必要的吗？

Question

我今天的问题是。我需要在我的脚本中转义PDO吗？

$columns = implode(", ",$column);
$query = ''.$query.' '.$columns.' FROM '.$table.'';
$dbh_query = $dbh->prepare($query);
$dbh_query->execute();
$dbh_querys = $dbh_query->fetchAll();

return $dbh_querys;

整个脚本可在中找到。https://github.com/joshuahiwat/crud/blob/master/control/query_connector.class.php

有人能解释一下为什么我现在需要逃跑，或者为什么不需要。

我很想收到你的来信，非常感谢！

Answer 1

首先，你需要明白，你所使用的“逃避”这个词是没有意义的。

您可能的意思是“使您的查询不受SQL注入的影响”。但是，不幸的是，没有这样神奇的“转义”可以让一些抽象查询变得安全。

传统的查询构建假定数据值旁边的所有查询部分都是硬编码的，而数据值是通过占位符绑定的，如下所示：

$query = 'SELECT col1, col2 FROM some_table WHERE id = ?';
$stmt = $dbh->prepare($query);
$stmt->execute([$id]);
$row = $stmt->fetch();

这种查询被认为是安全的。

对于动态构造的查询，每个部分都有潜在的漏洞。

在这里，非常重要的是要理解清理所有查询部分的负担完全在这个功能上。您不能简单地声称您的数据来自受信任的来源就排除了危险。这是一个棘手的问题，因为人们通常不知道他们的来源是否受信任。

因此，如果将您的问题理解为“我是否必须保护此代码不受SQL注入的影响”，那么答案是-是的，您必须这样做。

与此同时，您只保护查询的一小部分——数据值。所以您仍然必须保护（这个术语比“转义”好得多）所有其他部分。

另一方面，您的代码每次运行查询时都会连接到数据库，这非常低效，并且无法使用某些数据库功能。

Answer 2

查询的动态部分是表名和列名。不能对查询的这些部分使用绑定函数。绑定函数只能用于SQL查询中原本是简单值的查询部分。例如数字常量、带引号的字符串或带引号的日期文字。

为了避免动态表名或列名SQL注入，您可以选择以下选项：

• 使用在类中预定义的值，或其他确保安全的值。不要使用来自用户或任何其他来源的外部内容