文档章节

为什么说PHP必须要用PDO?

金拱门
 金拱门
发布于 2014/06/13 09:55
字数 1572
阅读 1204
收藏 11

根据PHP官方计划,PHP6正式到来之时,数据库链接方式统一为PDO。但是总有一小撮顽固分子,趁PHP官方还没正式统一时,还用老式的MYSQL驱动链接数据库。即使现在有部分程序改用Mysqli/pdo,只要没用到预编译,均和老式的Mysql驱动没多大区别。在此,我就不点评国内的PHP生态环境了。

回归主题,为什么说PHP必须要用PDO?除了官方要求之外,我认为作为PHP程序员,只要你目前是做开发的话,那么请选择用PDO的程序/框架!PDO除了安全和万金油式数据库链接,还有一点是我目前觉得非常好用的!下面我就用我最近的切身体会来说。

业务环境:公司某老架构,数据库设计的人员太菜了,设计过程完全没有按照数据库范式进行。各种表中使用大量的序列化形式保存(补充:json同理)。

出现问题:销售的客服反馈,网站某用户在编辑地址时,Mysql报错了。

问题猜想:不用说了。肯定是引号,反斜杠引起序列化入库不正常。

下面就来正题,由于涉及到公司的机密。我就模拟一下当时的业务环境。

用户提交的数据以下面数组形式显示:

        $array = array(
            'firstname' => 'Orthopedics',
            'lastname' => "O\"\\s\\'\'\'\''''china\\\'dddddd",
            'address' => "Oschina net s'e'x"
        );

上述数据为了数据的直白性,我加了一些反斜杠了单引号。实际上用户是在地址是输入了类似:Los Angeles Highway's 52。

正常来说,老式的程序都对数据进行addslashes函数过滤处理。数组就是下面这个形式了:

$array = array(
    'firstname' => 'Orthopedics',
    'lastname' => addslashes("O\"\\s\\'\'\'\''''china\\\'dddddd"),
    'address' => addslashes("Oschina net s'e'x")
);

上面数据是非常典型的PHP写法了!用户提交什么数据,我都给你过滤。

接着,上文已经说过了,数据库很多地方都以序列化的形式保存。所以,下面插入数据库的代码就类似这样了。

$content = serialize($array);
$sql = "INSERT INTO  `test`.`test` (`content`)
    VALUES ('{$content}')";
$res = mysql_query($sql);

恩,很好。看似一个完整的安全过滤系统,什么注入漏洞都跑不过我的法眼。上面的插入语句是正确,并插入了数据!

可是,当系统要读取用户数据时,哈哈!百分百出问题!下面再来段数据读取的代码。

$sql = "select * from test";
$res = mysql_query($sql);
$temp = array();
while ($row = mysql_fetch_array($res)) {
    echo "入库后的序列化: {$row['content']}<br />";
    echo "还原序列化数组:<br />";
    print_r(unserialize($row['content']));
}

为了给大家验证数据的统一性,我就做了一些数据打印,方便大家理解和阅读。下面就是整个程序的执行结果截图。

很好!从数据库读取序列化保存数据 和 原本的序列化数据 已经不一致了!导致这种现象,是由于数据过滤后,入库时数据库误以为这玩意是用来转义的。 

上面这样说太抽象了,来个实例的:数据序列化时,

s:7:"fuck\'u"

上面的fuck\'s 长度为 7。但是入库时,\' 会被转义成 ' !再从库里面读取的话,那么长度已经不一致了。序列化也必然是失败的!

导致这种奇葩的现象,除了数据库设计不当,还有是因为老式的程序架构中,数据都是先做过滤,在入库导致的。当然,如果你不过滤数据,先序列化再入库的话,要是用户提交 反斜杠\ , 依旧可能会出现这种 破问题。

至于要解决这种问题,我有几个方案:

  1. 选用PDO。 后文我再说实例。

  2. 序列化后的数据,再做base64保存。

  3. 序列化的数据尽量剔除掉单引号,反斜杠等歧义字符。

  4. 改表结构吧。序列化之类的数据,只用于保存一些不常用的东西(后台数据为主)。

文章最后,我就来介绍本文的主角,PDO。 

由于PDO使用预编译的形式进行操作数据库,因此只要不是底层的漏洞(php 5.3.8之前的PDO存在漏洞),可以100%抵挡注入漏洞!具体的说明,看客自行谷歌吧。

得益于PDO的安全机制,在操作刚才的业务环境,用户提交的数据,我们几乎不用作任何处理(注意XSS还是必须的)!下面是基于我写的PDO类库进行操作的代码。

    public function fuck() {
        $array = array(
            'firstname' => 'Orthopedics',
            'lastname' => "O\"\\s\\'\'\'\''''china\\\'dddddd",
            'address' => "Oschina net s'e'x"
        );

        $content = serialize($array);
        echo '<pre>';
        echo "原始数组:<br />";
        print_r($array);
        echo "原始序列化: {$content}<br/>";

        $db = $this->db('test');
        $result = $db->add(array('content' => $content));

        $select = $db->select();

        foreach ($select as $key => $value) {
            echo "入库后的序列化: {$value['content']}<br />";
            echo "还原序列化数组:<br />";
            print_r(unserialize($value['content']));
        }

        $result = $db->delete();
    }

效果截图如下:

无论数据有多恶劣,什么单引号,双引号啊,斜杠,反斜杠。。。PDO均轻易地解决!

文章末尾,用PDO是势在必行的!每一位PHPer,只要你觉得可以,请大胆向领导说,艹,公司架构应该换PDO了!程序员何苦为难程序员呢?有空大家多多看看乌云的漏洞,现在PHP和当年的asp安全形势已经相差不大了,这可是一个危险的警钟!如果你不想PHP成为下一代asp,请从现在开始,数据库都用上PDO吧!顺道吐槽一下:我发现公司的几个网站的代码已经有点变得不可控了。哈哈,太逗了。

© 著作权归作者所有

共有 人打赏支持
金拱门

金拱门

粉丝 372
博文 6
码字总数 3303
作品 7
广州
程序员
加载中

评论(9)

金拱门
金拱门

引用来自“mark35”的评论

lz所说的安全以及业务上的理由其实都和PDO没关系。用原生驱动照样可以实现同样效果的。PDO的优点是方便切换数据库,不过对于商用系统不可能让你随便更换数据库的。就和java宣传的一次编译各处运行一样其实意义不大
你这样理解也没错。但别忽略了一点,用mysql驱动形式编写的程序,很容易就产生注入的漏洞。因为新来的未必知道程序的安全机制。而选择了 预编译的 pdo或者mysqli,只需要开发人员知道预编译就杜绝了注入的产生。这才是最重要的。 拿一个典型的例子来说吧,当年用TP框架。他们本身就有安全机制。当时我也没怎么懂他们的文档是怎样说安全过滤的。于是我有自己写了一个安全过滤机制。 每次数据过滤都的去担心这会不会有注入。 这就是我认为为什么要用PDO的原因之一了。
mark35
mark35
lz所说的安全以及业务上的理由其实都和PDO没关系。用原生驱动照样可以实现同样效果的。PDO的优点是方便切换数据库,不过对于商用系统不可能让你随便更换数据库的。就和java宣传的一次编译各处运行一样其实意义不大
SimonYe
SimonYe

引用来自“都市网达”的评论

PDO的优点还有可以迁移数据库,我认为最大的优点还是自带的异常捕获。
还有事务处理
乌龟壳
乌龟壳
我没用过mysql的驱动,postgres有pg_prepare,pg_query_params,oracle有oci_parse,oci_bind_*,入库的时候根本不用操心怎么转义。出库的时候加上html_special_char防注入就行了。为什么原生的驱动不死,就是因为PDO没办法抽象一些数据库不共有的功能,这些功能放弃了就白花很多冤枉钱在数据库上了。
都市网达
都市网达
PDO的优点还有可以迁移数据库,我认为最大的优点还是自带的异常捕获。
金拱门
金拱门

引用来自“张敏峰”的评论

// 试试这个函数 mb_unserialize 还有 mysqli_real_escape_string() 函数
function mb_unserialize($serial_str) { // 修正unserialize在处理某些字串编码时返回 Error at offset 问题
$out = preg_replace('!s:(\d+):"(.*?)";!se', "'s:'.strlen('$2').':\"$2\";'", $serial_str );
return unserialize($out);
}
谢指点了。 入库前用addslashes 肯定不周全的,还是过滤HTML标签。不考虑数据库特殊的编码环境的话,老式的过滤手法都是这样,外加 对 数据进行 关键词检测的。
BossKiller
BossKiller
入MySQL数据库前的转义用 addslashes 是不周全的
BossKiller
BossKiller
// 试试这个函数 mb_unserialize 还有 mysqli_real_escape_string() 函数
function mb_unserialize($serial_str) { // 修正unserialize在处理某些字串编码时返回 Error at offset 问题
$out = preg_replace('!s:(\d+):"(.*?)";!se', "'s:'.strlen('$2').':\"$2\";'", $serial_str );
return unserialize($out);
}
AzusaK
AzusaK
1年前已经使用pdo,安全与方便是没得说...
PHP中使用PDO连接SQL Server

注意,本文告诉你如何更好的用pdo连接sql server 2005 而不是 2000。(MSSQL2000可以直接应用PHP内置函数或直接调用PDO,另外如果应用PDO连接MSSQL 2000,需要将PHP 文件目录下的ntwdblib.dl...

Junn
2014/03/03
0
0
linux环境php调用sqlServer2000存储过程遇到的问题

  在linux环境中用php查询sql server并不是很常见的需求.一般来说如果一定要用sql server,编程语言我会先c#;如果一定要用php,数据库我就选mysql.   这几天的开发中,需要从一个非开源的e...

吕明明
2013/03/14
0
0
PDO防注入原理分析以及使用PDO的注意事项

我们都知道,只要合理正确使用PDO,可以基本上防止SQL注入的产生,本文主要回答以下两个问题: 为什么要使用PDO而不是mysql_connect? 为何PDO能防注入? 使用PDO防注入的时候应该特别注意什么...

月影又无痕
2013/07/30
0
7
php PDO数据库操作 方法应用 bindColumn bindParam bindValue

php PDO数据库操作 方法应用 bindColumn bindParam bindValue 问题1: 为什么要用PDO抽象层? 问题2:这三个方法之间有什么不同 为什么要做绑定操作 ? 问题3: PDO是不是重复性更好?...

鬼谷子灬
2015/07/05
446
2
PHP PDO在SWOOLE模式下关闭数据库连接一些注意点

最近在swoole中使用php pdo扩展访问数据库的时候,发现了一个很有意思的事情。 我测试用的版本是 PHP 7.1.13 官方手册明确到告诉我们,使用PDO是这样关闭数据库连接的,只需要将PDO对象置为n...

anoty
02/11
0
14

没有更多内容

加载失败,请刷新页面

加载更多

你为什么在Redis里读到了本应过期的数据

一个事故的故事 晚上睡的正香突然被电话吵醒,对面是开发焦急的声音:我们的程序在访问redis的时候读到了本应过期的key导致整个业务逻辑出了问题,需要马上解决。 看到这里你可能会想:这是不...

IT--小哥
今天
2
0
祝大家节日快乐,阖家幸福! centos GnuTLS 漏洞

yum update -y gnutls 修复了GnuTLS 漏洞。更新到最新 gnutls.x86_64 0:2.12.23-22.el6 版本

yizhichao
昨天
5
0
Scrapy 1.5.0之选择器

构造选择器 Scrapy选择器是通过文本(Text)或 TextResponse 对象构造的 Selector 类的实例。 它根据输入类型自动选择最佳的解析规则(XML vs HTML): >>> from scrapy.selector import Sele...

Eappo_Geng
昨天
4
0
Windows下Git多账号配置,同一电脑多个ssh-key的管理

Windows下Git多账号配置,同一电脑多个ssh-key的管理   这一篇文章是对上一篇文章《Git-TortoiseGit完整配置流程》的拓展,所以需要对上一篇文章有所了解,当然直接往下看也可以,其中也有...

morpheusWB
昨天
5
0
中秋快乐!!!

HiBlock
昨天
3
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部