13518219792
這篇文章主要講解了“MySQL怎么避免SQL注入風險”，文中的講解內容簡單清晰，易于學習與理解，下面請大家跟著小編的思路慢慢深入，一起來研究和學習“Mysql怎么避免SQL注入風險”吧！
成都創新互聯公司是一家集網站建設,金安企業網站建設,金安品牌網站建設,網站定制,金安網站建設報價,網絡營銷,網絡優化,金安網站推廣為一體的創新建站企業，幫助傳統企業提升企業形象加強企業競爭力。可充分滿足這一群體相比中小企業更為豐富、高端、多元的互聯網需求。同時我們時刻保持專業、時尚、前沿，時刻以成就客戶成長自我，堅持不斷學習、思考、沉淀、凈化自己，讓我們為更多的企業打造出實用型網站。
PDO(PHP Data Object) 是 PHP5新加入的一個重大功能，因為在PHP 5以前的php4/php3都是一堆的數據庫擴展來跟各個數據庫的連接和處理， 如 php_mysql.dll。 PHP6中也將默認使用PDO的方式連接，mysql擴展將被作為輔助 。官方：http://php.net/manual/en/book.pdo.php
1、PDO配置
使 用PDO擴展之前，先要啟用這個擴展，PHP.ini中，去掉"extension=php_pdo.dll"前面的";"號,若要連接數據庫，還需要去 掉與PDO相關的數據庫擴展前面的";"號（一般用的是php_pdo_mysql.dll），然后重啟Apachewhile ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
【下面飄易來說說重點了，如何防止 sql注入】。
使用PDO訪問MySQL數據庫時，真正的real prepared statements 默認情況下是不使用的。為了解決這個問題，你必須禁用 prepared statements的仿真效果。下面是使用PDO創建鏈接的例子：
$dbh = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
setAttribute（） 這一行是強制性的，它會告訴 PDO 禁用模擬預處理語句，并使用 real parepared statements 。這可以確保SQL語句和相應 的值在傳遞到mysql服務器之前是不會被PHP解析的（禁止了所有可能的惡意SQL注入攻擊）。
雖然你可以配置文件中設置字符集的屬性(charset=utf8)，但是需要格外注意的是，老版本的 PHP（ < 5.3.6）在DSN中是忽略字符參數的。
我們來看一段完整的代碼使用實例：
$dbh = new PDO("mysql:host=localhost; dbname=demo", "user", "pass");
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names 'utf8'");
$sql="select * from test where name = ? and password = ?";
$stmt = $dbh->prepare($sql);
$exeres = $stmt->execute(array($testname, $pass));
if ($exeres) {
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
}
$dbh = null;
上面這段代碼就可以防范sql注入。為什么呢？
當調用 prepare() 時，查詢語句已經發送給了數據庫服務器，此時只有占位符 ? 發送過去，沒有用戶提交的數據；當調用到 execute()時，用戶提交過來的值才會傳送給數據庫，他們是分開傳送的，兩者獨立的，SQL攻擊者沒有一點機會。
但是我們需要注意的是以下幾種情況，PDO并不能幫助你防范SQL注入
原文地址來自php教程http://www.software8.co/wzjs/PHPshili/2834.html
1、你不能讓占位符 ? 代替一組值，如：
SELECT * FROM blog WHERE userid IN ( ? );
2、你不能讓占位符代替數據表名或列名，如：
SELECT * FROM blog ORDER BY ?;
3、你不能讓占位符 ? 代替任何其他SQL語法，如：
SELECT EXTRACT( ? FROM datetime_column) AS variable_datetime_element FROM blog;
感謝各位的閱讀，以上就是“Mysql怎么避免SQL注入風險”的內容了，經過本文的學習后，相信大家對Mysql怎么避免SQL注入風險這一問題有了更深刻的體會，具體使用情況還需要大家實踐驗證。這里是創新互聯，小編將為大家推送更多相關知識點的文章，歡迎關注！
