文档章节

为什么说PHP必须要用PDO?

金拱门
 金拱门
发布于 2014/06/13 09:55
字数 1572
阅读 1241
收藏 12

根据PHP官方计划,PHP6正式到来之时,数据库链接方式统一为PDO。但是总有一小撮顽固分子,趁PHP官方还没正式统一时,还用老式的MYSQL驱动链接数据库。即使现在有部分程序改用Mysqli/pdo,只要没用到预编译,均和老式的Mysql驱动没多大区别。在此,我就不点评国内的PHP生态环境了。

回归主题,为什么说PHP必须要用PDO?除了官方要求之外,我认为作为PHP程序员,只要你目前是做开发的话,那么请选择用PDO的程序/框架!PDO除了安全和万金油式数据库链接,还有一点是我目前觉得非常好用的!下面我就用我最近的切身体会来说。

业务环境:公司某老架构,数据库设计的人员太菜了,设计过程完全没有按照数据库范式进行。各种表中使用大量的序列化形式保存(补充:json同理)。

出现问题:销售的客服反馈,网站某用户在编辑地址时,Mysql报错了。

问题猜想:不用说了。肯定是引号,反斜杠引起序列化入库不正常。

下面就来正题,由于涉及到公司的机密。我就模拟一下当时的业务环境。

用户提交的数据以下面数组形式显示:

        $array = array(
            'firstname' => 'Orthopedics',
            'lastname' => "O\"\\s\\'\'\'\''''china\\\'dddddd",
            'address' => "Oschina net s'e'x"
        );

上述数据为了数据的直白性,我加了一些反斜杠了单引号。实际上用户是在地址是输入了类似:Los Angeles Highway's 52。

正常来说,老式的程序都对数据进行addslashes函数过滤处理。数组就是下面这个形式了:

$array = array(
    'firstname' => 'Orthopedics',
    'lastname' => addslashes("O\"\\s\\'\'\'\''''china\\\'dddddd"),
    'address' => addslashes("Oschina net s'e'x")
);

上面数据是非常典型的PHP写法了!用户提交什么数据,我都给你过滤。

接着,上文已经说过了,数据库很多地方都以序列化的形式保存。所以,下面插入数据库的代码就类似这样了。

$content = serialize($array);
$sql = "INSERT INTO  `test`.`test` (`content`)
    VALUES ('{$content}')";
$res = mysql_query($sql);

恩,很好。看似一个完整的安全过滤系统,什么注入漏洞都跑不过我的法眼。上面的插入语句是正确,并插入了数据!

可是,当系统要读取用户数据时,哈哈!百分百出问题!下面再来段数据读取的代码。

$sql = "select * from test";
$res = mysql_query($sql);
$temp = array();
while ($row = mysql_fetch_array($res)) {
    echo "入库后的序列化: {$row['content']}<br />";
    echo "还原序列化数组:<br />";
    print_r(unserialize($row['content']));
}

为了给大家验证数据的统一性,我就做了一些数据打印,方便大家理解和阅读。下面就是整个程序的执行结果截图。

很好!从数据库读取序列化保存数据 和 原本的序列化数据 已经不一致了!导致这种现象,是由于数据过滤后,入库时数据库误以为这玩意是用来转义的。 

上面这样说太抽象了,来个实例的:数据序列化时,

s:7:"fuck\'u"

上面的fuck\'s 长度为 7。但是入库时,\' 会被转义成 ' !再从库里面读取的话,那么长度已经不一致了。序列化也必然是失败的!

导致这种奇葩的现象,除了数据库设计不当,还有是因为老式的程序架构中,数据都是先做过滤,在入库导致的。当然,如果你不过滤数据,先序列化再入库的话,要是用户提交 反斜杠\ , 依旧可能会出现这种 破问题。

至于要解决这种问题,我有几个方案:

  1. 选用PDO。 后文我再说实例。

  2. 序列化后的数据,再做base64保存。

  3. 序列化的数据尽量剔除掉单引号,反斜杠等歧义字符。

  4. 改表结构吧。序列化之类的数据,只用于保存一些不常用的东西(后台数据为主)。

文章最后,我就来介绍本文的主角,PDO。 

由于PDO使用预编译的形式进行操作数据库,因此只要不是底层的漏洞(php 5.3.8之前的PDO存在漏洞),可以100%抵挡注入漏洞!具体的说明,看客自行谷歌吧。

得益于PDO的安全机制,在操作刚才的业务环境,用户提交的数据,我们几乎不用作任何处理(注意XSS还是必须的)!下面是基于我写的PDO类库进行操作的代码。

    public function fuck() {
        $array = array(
            'firstname' => 'Orthopedics',
            'lastname' => "O\"\\s\\'\'\'\''''china\\\'dddddd",
            'address' => "Oschina net s'e'x"
        );

        $content = serialize($array);
        echo '<pre>';
        echo "原始数组:<br />";
        print_r($array);
        echo "原始序列化: {$content}<br/>";

        $db = $this->db('test');
        $result = $db->add(array('content' => $content));

        $select = $db->select();

        foreach ($select as $key => $value) {
            echo "入库后的序列化: {$value['content']}<br />";
            echo "还原序列化数组:<br />";
            print_r(unserialize($value['content']));
        }

        $result = $db->delete();
    }

效果截图如下:

无论数据有多恶劣,什么单引号,双引号啊,斜杠,反斜杠。。。PDO均轻易地解决!

文章末尾,用PDO是势在必行的!每一位PHPer,只要你觉得可以,请大胆向领导说,艹,公司架构应该换PDO了!程序员何苦为难程序员呢?有空大家多多看看乌云的漏洞,现在PHP和当年的asp安全形势已经相差不大了,这可是一个危险的警钟!如果你不想PHP成为下一代asp,请从现在开始,数据库都用上PDO吧!顺道吐槽一下:我发现公司的几个网站的代码已经有点变得不可控了。哈哈,太逗了。

© 著作权归作者所有

共有 人打赏支持
金拱门

金拱门

粉丝 370
博文 6
码字总数 3303
作品 7
广州
程序员
私信 提问
加载中

评论(9)

金拱门
金拱门

引用来自“mark35”的评论

lz所说的安全以及业务上的理由其实都和PDO没关系。用原生驱动照样可以实现同样效果的。PDO的优点是方便切换数据库,不过对于商用系统不可能让你随便更换数据库的。就和java宣传的一次编译各处运行一样其实意义不大
你这样理解也没错。但别忽略了一点,用mysql驱动形式编写的程序,很容易就产生注入的漏洞。因为新来的未必知道程序的安全机制。而选择了 预编译的 pdo或者mysqli,只需要开发人员知道预编译就杜绝了注入的产生。这才是最重要的。 拿一个典型的例子来说吧,当年用TP框架。他们本身就有安全机制。当时我也没怎么懂他们的文档是怎样说安全过滤的。于是我有自己写了一个安全过滤机制。 每次数据过滤都的去担心这会不会有注入。 这就是我认为为什么要用PDO的原因之一了。
mark35
mark35
lz所说的安全以及业务上的理由其实都和PDO没关系。用原生驱动照样可以实现同样效果的。PDO的优点是方便切换数据库,不过对于商用系统不可能让你随便更换数据库的。就和java宣传的一次编译各处运行一样其实意义不大
SimonYe
SimonYe

引用来自“都市网达”的评论

PDO的优点还有可以迁移数据库,我认为最大的优点还是自带的异常捕获。
还有事务处理
乌龟壳
乌龟壳
我没用过mysql的驱动,postgres有pg_prepare,pg_query_params,oracle有oci_parse,oci_bind_*,入库的时候根本不用操心怎么转义。出库的时候加上html_special_char防注入就行了。为什么原生的驱动不死,就是因为PDO没办法抽象一些数据库不共有的功能,这些功能放弃了就白花很多冤枉钱在数据库上了。
都市网达
都市网达
PDO的优点还有可以迁移数据库,我认为最大的优点还是自带的异常捕获。
金拱门
金拱门

引用来自“张敏峰”的评论

// 试试这个函数 mb_unserialize 还有 mysqli_real_escape_string() 函数
function mb_unserialize($serial_str) { // 修正unserialize在处理某些字串编码时返回 Error at offset 问题
$out = preg_replace('!s:(\d+):"(.*?)";!se', "'s:'.strlen('$2').':\"$2\";'", $serial_str );
return unserialize($out);
}
谢指点了。 入库前用addslashes 肯定不周全的,还是过滤HTML标签。不考虑数据库特殊的编码环境的话,老式的过滤手法都是这样,外加 对 数据进行 关键词检测的。
BossKiller
BossKiller
入MySQL数据库前的转义用 addslashes 是不周全的
BossKiller
BossKiller
// 试试这个函数 mb_unserialize 还有 mysqli_real_escape_string() 函数
function mb_unserialize($serial_str) { // 修正unserialize在处理某些字串编码时返回 Error at offset 问题
$out = preg_replace('!s:(\d+):"(.*?)";!se', "'s:'.strlen('$2').':\"$2\";'", $serial_str );
return unserialize($out);
}
AzusaK
AzusaK
1年前已经使用pdo,安全与方便是没得说...
PHP中使用PDO连接SQL Server

注意,本文告诉你如何更好的用pdo连接sql server 2005 而不是 2000。(MSSQL2000可以直接应用PHP内置函数或直接调用PDO,另外如果应用PDO连接MSSQL 2000,需要将PHP 文件目录下的ntwdblib.dl...

Junn
2014/03/03
0
0
linux环境php调用sqlServer2000存储过程遇到的问题

  在linux环境中用php查询sql server并不是很常见的需求.一般来说如果一定要用sql server,编程语言我会先c#;如果一定要用php,数据库我就选mysql.   这几天的开发中,需要从一个非开源的e...

吕明明
2013/03/14
0
0
PHP PDO在SWOOLE模式下关闭数据库连接一些注意点

最近在swoole中使用php pdo扩展访问数据库的时候,发现了一个很有意思的事情。 我测试用的版本是 PHP 7.1.13 官方手册明确到告诉我们,使用PDO是这样关闭数据库连接的,只需要将PDO对象置为n...

anoty
02/11
0
14
PDO防注入原理分析以及使用PDO的注意事项

我们都知道,只要合理正确使用PDO,可以基本上防止SQL注入的产生,本文主要回答以下两个问题: 为什么要使用PDO而不是mysql_connect? 为何PDO能防注入? 使用PDO防注入的时候应该特别注意什么...

月影又无痕
2013/07/30
0
7
还是php框架pdo预处理类的问题

别人的框架使用多了,对基本语法和底层原理会有点生疏.一直更新的自己的一个小框架,不断的扩充和修正.想把数据操作类升级成pdo预处理的.有人推介medoo,挺小巧的,但是我看到源码中增删改查方法...

manbudezhu
2016/07/26
214
0

没有更多内容

加载失败,请刷新页面

加载更多

Vue.js 3.0 新特性预览

Evan You(尤雨溪)(2018年11月16日)前几日的早上在 Vue Toronto 的主题演讲中预演了 Vue 3 。 利用现代浏览器支持的新功能,Vue 3 将成为我们已经了解和喜爱的 Vue.js 强大的的改进版本。...

我的卡
11分钟前
1
0
Mybatis自带连接池阅读

1、数据源初始化,初始化入口由SqlSessionFactoryBuilder.build(InputStream inputStream, String environment, Properties properties)方法提供 public SqlSessionFactory build(InputStre......

jcc_codingBoy
17分钟前
1
0
Oracle 数据库勒索病毒 RushQL 处理办法

Oracle 数据库勒索病毒 RushQL 处理办法 办法来自Oracle 官方: https://blogs.oracle.com/cnsupport_news/%E5%AF%B9%E6%95%B0%E6%8D%AE%E5%BA%93%E7%9A%84%E2%80%9C%E6%AF%94%E7%89%B9%E5%......

rootliu
18分钟前
2
0
聊聊flink LocalEnvironment的execute方法

序 本文主要研究一下flink LocalEnvironment的execute方法 实例 final ExecutionEnvironment env = ExecutionEnvironment.getExecutionEnvironment(); DataSet<RecordDto>......

go4it
21分钟前
1
0
Spring Boot中对自然语言处理工具包hanlp的调用详解

概 述 HanLP 是基于 Java开发的 NLP工具包,由一系列模型与算法组成,目标是普及自然语言处理在生产环境中的应用。而且 HanLP具备功能完善、性能高效、架构清晰、语料时新、可自定义的特点,...

左手的倒影
27分钟前
1
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部