Come sappiamo che il PDO sta sfuggendo alle iniezioni SQL?

Question

Sono novizio con le librerie PDO. Sto lavorando all'ambiente di sviluppo con mysql come database. Sono in grado di scorrere le mie query utilizzando la funzione di preparazione ed esecuzione mentre si utilizza "?" segnaposto e anche metodo bindParam durante l'utilizzo di segnaposto con nome (es: ": colonna").

Dopo questo tentativo, ho provato a vedere se PDO esegue qualsiasi tipo di escape inserendo virgolette per disinfettare la query come mysql_real_escape_string. Sto cercando di vedere l'aspetto della query, ma tutto quello che ottengo è la dichiarazione che è stata passata nell'istruzione preparativa, ma non la query che sarebbe stata eseguita.

Ho provato a var_dump il $ result-> execute() e $ result-> fetch() ma l'istruzione execute mi dà il sql della mia istruzione preparata con i segnaposto mentre l'istruzione fetch mi dà il risultato di quella query.

C'è un modo per esaminare la query di ricerca che verrà eseguita, o almeno come i parametri dovrebbero apparire prima di eseguire la query ??

Spero di essere chiaro con la mia domanda. : |

Answer 1

Quando si scrive qualcosa di simile:

$stmt = $pdo->prepare('SELECT * FROM tbl_name WHERE col_name = :col_name;'); 
$stmt->bindValue('col_name', 'some \' value'); 
$stmt->execute(); 

Il la query effettiva è ... SELECT * FROM tbl_name WHERE col_name = :col_name;. Questo è chiamato istruzione preparata. In primo luogo, si invia una query al database, in seguito si inviano parametri di query. PDO non unisce query e parametri.

Probabilmente avete pensato che PDOStatement::bindValue() fa qualcosa di simile:

public function bindValue($placeholer, $value, $valueType = PDO::PARAM_STR) { 
    $this->query = str_replace($placeholder, $this->quote($value, $valueType), $this->query); 
} 

Ma non lo fa.

Si fa qualcosa di più simile a quello:

public function execute() { 
    try { 
     $this->sendQueryToDatabase($this->query); 

     // Query is valid 
     $this->sendParametersToDatabase($this->parameters); 

     return $this->fetchResultSet(); 
    } catch (... $e) { 
     // Query is invalid (eg. syntax error) 
     throw ...; 
    } 
} 

Read more about Prepared Statements

Answer 2

la dichiarazione preparare è gestire da MySQL, in modo da PDO non sfuggire alla richiesta, DOP inviare la richiesta e "dopo" il parametro

Answer 3

Abilitare il registro generale di query, e guardare le query effettivamente eseguite sul server quando si sta eseguendo semplici dichiarazioni - fare alcuni inserti , ad esempio, con stringhe contenenti virgolette o nulle incorporate.

Answer 4

Per dirlo.

DOP ha 2 modalità di esecuzione di istruzioni preparate:

1. modalità nativa. Richiesta e dati inviati al database se-pa-ra-te-ly. Il che significa che i dati non sono mai stati aggiunti alla query per. Quindi, nessun danno potrebbe essere fatto. Mai. La query inviata al database così com'è, con ? contrassegni (ma nessun segnaposto con nome che viene sostituito da PDO con ? s)
2. Modalità compatibilità. PDO crea una query vecchio stile, sostituendo i segnaposti con variabili bindate a seconda del nome della variabile. Stringhe che vengono citate/fugate, il resto viene trasmesso al suo tipo.

Entrambi i metodi sono perfettamente sicuri.

Il vero pericolo comincia quando si dispone di una variabile identificatore ...