为什么说PHP必须要用PDO?
为什么说PHP必须要用PDO?
金拱门 发表于3年前
为什么说PHP必须要用PDO?
  • 发表于 3年前
  • 阅读 1125
  • 收藏 11
  • 点赞 1
  • 评论 9

腾讯云 新注册用户 域名抢购1元起>>>   

摘要: 根据PHP官方计划,PHP6正式到来之时,数据库链接方式统一为PDO。但是总有一小撮顽固分子,趁PHP官方还没正式统一时,还用老式的MYSQL驱动链接数据库。即使现在有部分程序改用Mysqli/pdo,只要没用到预编译,均和老式的Mysql驱动没多大区别。我认为作为PHP程序员,只要你目前是做开发的话,那么请选择用PDO的程序/框架!

根据PHP官方计划,PHP6正式到来之时,数据库链接方式统一为PDO。但是总有一小撮顽固分子,趁PHP官方还没正式统一时,还用老式的MYSQL驱动链接数据库。即使现在有部分程序改用Mysqli/pdo,只要没用到预编译,均和老式的Mysql驱动没多大区别。在此,我就不点评国内的PHP生态环境了。

回归主题,为什么说PHP必须要用PDO?除了官方要求之外,我认为作为PHP程序员,只要你目前是做开发的话,那么请选择用PDO的程序/框架!PDO除了安全和万金油式数据库链接,还有一点是我目前觉得非常好用的!下面我就用我最近的切身体会来说。

业务环境:公司某老架构,数据库设计的人员太菜了,设计过程完全没有按照数据库范式进行。各种表中使用大量的序列化形式保存(补充:json同理)。

出现问题:销售的客服反馈,网站某用户在编辑地址时,Mysql报错了。

问题猜想:不用说了。肯定是引号,反斜杠引起序列化入库不正常。

下面就来正题,由于涉及到公司的机密。我就模拟一下当时的业务环境。

用户提交的数据以下面数组形式显示:

        $array = array(
            'firstname' => 'Orthopedics',
            'lastname' => "O\"\\s\\'\'\'\''''china\\\'dddddd",
            'address' => "Oschina net s'e'x"
        );

上述数据为了数据的直白性,我加了一些反斜杠了单引号。实际上用户是在地址是输入了类似:Los Angeles Highway's 52。

正常来说,老式的程序都对数据进行addslashes函数过滤处理。数组就是下面这个形式了:

$array = array(
    'firstname' => 'Orthopedics',
    'lastname' => addslashes("O\"\\s\\'\'\'\''''china\\\'dddddd"),
    'address' => addslashes("Oschina net s'e'x")
);

上面数据是非常典型的PHP写法了!用户提交什么数据,我都给你过滤。

接着,上文已经说过了,数据库很多地方都以序列化的形式保存。所以,下面插入数据库的代码就类似这样了。

$content = serialize($array);
$sql = "INSERT INTO  `test`.`test` (`content`)
    VALUES ('{$content}')";
$res = mysql_query($sql);

恩,很好。看似一个完整的安全过滤系统,什么注入漏洞都跑不过我的法眼。上面的插入语句是正确,并插入了数据!

可是,当系统要读取用户数据时,哈哈!百分百出问题!下面再来段数据读取的代码。

$sql = "select * from test";
$res = mysql_query($sql);
$temp = array();
while ($row = mysql_fetch_array($res)) {
    echo "入库后的序列化: {$row['content']}<br />";
    echo "还原序列化数组:<br />";
    print_r(unserialize($row['content']));
}

为了给大家验证数据的统一性,我就做了一些数据打印,方便大家理解和阅读。下面就是整个程序的执行结果截图。

很好!从数据库读取序列化保存数据 和 原本的序列化数据 已经不一致了!导致这种现象,是由于数据过滤后,入库时数据库误以为这玩意是用来转义的。 

上面这样说太抽象了,来个实例的:数据序列化时,

s:7:"fuck\'u"

上面的fuck\'s 长度为 7。但是入库时,\' 会被转义成 ' !再从库里面读取的话,那么长度已经不一致了。序列化也必然是失败的!

导致这种奇葩的现象,除了数据库设计不当,还有是因为老式的程序架构中,数据都是先做过滤,在入库导致的。当然,如果你不过滤数据,先序列化再入库的话,要是用户提交 反斜杠\ , 依旧可能会出现这种 破问题。

至于要解决这种问题,我有几个方案:

  1. 选用PDO。 后文我再说实例。

  2. 序列化后的数据,再做base64保存。

  3. 序列化的数据尽量剔除掉单引号,反斜杠等歧义字符。

  4. 改表结构吧。序列化之类的数据,只用于保存一些不常用的东西(后台数据为主)。

文章最后,我就来介绍本文的主角,PDO。 

由于PDO使用预编译的形式进行操作数据库,因此只要不是底层的漏洞(php 5.3.8之前的PDO存在漏洞),可以100%抵挡注入漏洞!具体的说明,看客自行谷歌吧。

得益于PDO的安全机制,在操作刚才的业务环境,用户提交的数据,我们几乎不用作任何处理(注意XSS还是必须的)!下面是基于我写的PDO类库进行操作的代码。

    public function fuck() {
        $array = array(
            'firstname' => 'Orthopedics',
            'lastname' => "O\"\\s\\'\'\'\''''china\\\'dddddd",
            'address' => "Oschina net s'e'x"
        );

        $content = serialize($array);
        echo '<pre>';
        echo "原始数组:<br />";
        print_r($array);
        echo "原始序列化: {$content}<br/>";

        $db = $this->db('test');
        $result = $db->add(array('content' => $content));

        $select = $db->select();

        foreach ($select as $key => $value) {
            echo "入库后的序列化: {$value['content']}<br />";
            echo "还原序列化数组:<br />";
            print_r(unserialize($value['content']));
        }

        $result = $db->delete();
    }

效果截图如下:

无论数据有多恶劣,什么单引号,双引号啊,斜杠,反斜杠。。。PDO均轻易地解决!

文章末尾,用PDO是势在必行的!每一位PHPer,只要你觉得可以,请大胆向领导说,艹,公司架构应该换PDO了!程序员何苦为难程序员呢?有空大家多多看看乌云的漏洞,现在PHP和当年的asp安全形势已经相差不大了,这可是一个危险的警钟!如果你不想PHP成为下一代asp,请从现在开始,数据库都用上PDO吧!顺道吐槽一下:我发现公司的几个网站的代码已经有点变得不可控了。哈哈,太逗了。

标签: php pdo mysql
共有 人打赏支持
金拱门
粉丝 370
博文 10
码字总数 5531
作品 6
评论 (9)
AzusaK
1年前已经使用pdo,安全与方便是没得说...
nhafeng
// 试试这个函数 mb_unserialize 还有 mysqli_real_escape_string() 函数
function mb_unserialize($serial_str) { // 修正unserialize在处理某些字串编码时返回 Error at offset 问题
$out = preg_replace('!s:(\d+):"(.*?)";!se', "'s:'.strlen('$2').':\"$2\";'", $serial_str );
return unserialize($out);
}
nhafeng
入MySQL数据库前的转义用 addslashes 是不周全的
金拱门

引用来自“张敏峰”的评论

// 试试这个函数 mb_unserialize 还有 mysqli_real_escape_string() 函数
function mb_unserialize($serial_str) { // 修正unserialize在处理某些字串编码时返回 Error at offset 问题
$out = preg_replace('!s:(\d+):"(.*?)";!se', "'s:'.strlen('$2').':\"$2\";'", $serial_str );
return unserialize($out);
}
谢指点了。 入库前用addslashes 肯定不周全的,还是过滤HTML标签。不考虑数据库特殊的编码环境的话,老式的过滤手法都是这样,外加 对 数据进行 关键词检测的。
都市网达
PDO的优点还有可以迁移数据库,我认为最大的优点还是自带的异常捕获。
乌龟壳
我没用过mysql的驱动,postgres有pg_prepare,pg_query_params,oracle有oci_parse,oci_bind_*,入库的时候根本不用操心怎么转义。出库的时候加上html_special_char防注入就行了。为什么原生的驱动不死,就是因为PDO没办法抽象一些数据库不共有的功能,这些功能放弃了就白花很多冤枉钱在数据库上了。
SimonYe

引用来自“都市网达”的评论

PDO的优点还有可以迁移数据库,我认为最大的优点还是自带的异常捕获。
还有事务处理
mark35
lz所说的安全以及业务上的理由其实都和PDO没关系。用原生驱动照样可以实现同样效果的。PDO的优点是方便切换数据库,不过对于商用系统不可能让你随便更换数据库的。就和java宣传的一次编译各处运行一样其实意义不大
金拱门

引用来自“mark35”的评论

lz所说的安全以及业务上的理由其实都和PDO没关系。用原生驱动照样可以实现同样效果的。PDO的优点是方便切换数据库,不过对于商用系统不可能让你随便更换数据库的。就和java宣传的一次编译各处运行一样其实意义不大
你这样理解也没错。但别忽略了一点,用mysql驱动形式编写的程序,很容易就产生注入的漏洞。因为新来的未必知道程序的安全机制。而选择了 预编译的 pdo或者mysqli,只需要开发人员知道预编译就杜绝了注入的产生。这才是最重要的。 拿一个典型的例子来说吧,当年用TP框架。他们本身就有安全机制。当时我也没怎么懂他们的文档是怎样说安全过滤的。于是我有自己写了一个安全过滤机制。 每次数据过滤都的去担心这会不会有注入。 这就是我认为为什么要用PDO的原因之一了。
×
金拱门
如果觉得我的文章对您有用,请随意打赏。您的支持将鼓励我继续创作!
* 金额(元)
¥1 ¥5 ¥10 ¥20 其他金额
打赏人
留言
* 支付类型
微信扫码支付
打赏金额:
已支付成功
打赏金额: