安全 -- mysql參數化查詢,防止Mysql注入

參數化查詢（Parameterized Query 或 Parameterized Statement）是指在設計與數據庫鏈接並訪問數據時，在需要填入數值或數據的地方，使用參數(Parameter) 來給值，這個方法目前已被視為最有效可預防SQL注入攻擊 (SQL Injection) 的攻擊手法的防御方式。

有部份的開發人員可能會認為使用參數化查詢，會讓程序更不好維護，或者在實現部份功能上會非常不便[來源請求]，然而，使用參數化查詢造成的額外開發成本，通常都遠低於因為SQL注入攻擊漏洞被發現而遭受攻擊，所造成的重大損失。

除了安全因素，相比起拼接字符串的 SQL 語句，參數化的查詢往往有性能優勢。因為參數化的查詢能讓不同的數據通過參數到達數據庫，從而公用同一條 SQL 語句。大多數數據庫會緩存解釋 SQL 語句產生的字節碼而省下重復解析的開銷。如果采取拼接字符串的 SQL 語句，則會由於操作數據是 SQL 語句的一部分而非參數的一部分，而反復大量解釋 SQL 語句產生不必要的開銷。

MySQL 的參數格式是以 "?" 字符加上參數名稱而成。

UPDATE myTable SET c1 = ?c1, c2 = ?c2, c3 = ?c3 WHERE c4 = ?c4

PDO[編輯]

PDO用於PHP之內。 在使用 PDO 驅動時，參數查詢的使用方法一般為：

// 實例化數據抽象層對象$db=new PDO('pgsql:host=127.0.0.1;port=5432;dbname=testdb');

// 對 SQL 語句執行 prepare，得到 PDOStatement 對象

$stmt=$db->prepare('SELECT * FROM "myTable" WHERE "id" = :id AND "is_valid" = :is_valid');

// 綁定參數$stmt->bindValue(':id',$id);$stmt->bindValue(':is_valid',true);

// 查詢$stmt->execute();// 獲取數據foreach($stmtas$row){var_dump($row);}

對於 MySQL 的特定驅動，也可以這樣使用：

$db=new mysqli("localhost","user","pass","database");

$stmt=$db->prepare("SELECT priv FROM testUsers WHERE username=? AND password=?");

$stmt->bind_param("ss",$user,$pass);$stmt->execute();

 

值得注意的是，以下方式雖然能有效防止 SQL注入 （歸功於 mysql_real_escape_string 函數的轉義），但並不是真正的參數化查詢。其本質仍然是拼接字符串的 SQL 語句。

$query=sprintf("SELECT * FROM Users where UserName='%s' and Password='%s'",

mysql_real_escape_string($Username),mysql_real_escape_string($Password));mysql_query($query);