请教下大神，使用了 pdo 是不是就可以无视 sql 注入了?

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 2355 天前的主题，其中的信息可能已经有所发展或是发生改变。

请教下大神
使用了 pdo 是不是就可以无视 sql 注入了?

努力了一下午
用 medoo 把网站原来的 mysqli 拼接语句换成 pdo

那么现在问题来了
在不考虑极端情况下
pdo 可以不过滤任何用户输入的内容直接入库吗？

PDO

SQL

请教

无视

11 条回复 • 2018-06-03 21:38:05 +08:00

carlclone

2018-06-03 19:08:08 +08:00 via Android

prepare 预处理查询语句

m939594960

2018-06-03 19:34:45 +08:00

只要用参数绑定的话可以。很多框架应该都是这么做的。当然不排除将来有其他绕过的方法

hly9469

2018-06-03 19:35:52 +08:00 via iPhone

pdo 只是个数据库连接驱动，跟防注入有啥关系？

hly9469

2018-06-03 19:36:25 +08:00 via iPhone

@hly9469 #3 还得靠参数绑定之类的

Felldeadbird

2018-06-03 19:43:51 +08:00 via iPhone

mysqli 也可以参数绑定。这个是将提交参数给数据库处理。这样才可以防止注入。
当然，以后出来 bug 一样会有注入。只是现在还没出现

peizhao2017

2018-06-03 19:50:55 +08:00

@Felldeadbird #5

我话没说全

我想问的是

原来用的是 sql 拼接

现在改成了 PDO::prepare

那么在 PDO::prepare 的情况下

还需要对用户的输入内容做各种转义和过滤吗？？

是不是就可以直接入库

SourceMan

2018-06-03 20:10:53 +08:00 via iPhone

大部分情况可以

Death

2018-06-03 20:15:14 +08:00 via Android

预处理防不了二阶注入

还有
https://stackoverflow.com/questions/134099/are-pdo-prepared-statements-sufficient-to-prevent-sql-injection/12202218#12202218
提到了一种利用字符集注入的情况

hilow

2018-06-03 20:16:31 +08:00

经过 prepare 后的参数，对 mysql 来说，是安全的，可以直接入库
但安全是个大问题，对 mysql 安全的数据，也许在其他地方使用，就会引起注入问题
比如存入 mysql 中的是 js 代码，那你经过处理直接把这些文本用到前端，就可能引起问题
推荐一本书白帽子讲 web 安全，里面有全面的有关示例

peizhao2017

2018-06-03 21:32:21 +08:00

@Death #8
小站
先不考虑这种二阶注入

本来也没有绝对的安全的方法

peizhao2017

2018-06-03 21:38:05 +08:00

@hilow #9

如果不过滤和转义的内容 PDO::prepare 后对 MySQL 是安全的

那么 xss 方面我用白名单

即前端输出的时候只留常规的<p><br><img>等需要的 html 标签

其他的一律过滤不显示或转义后显示

这样是不是就基本可以预防大部分的 sql 注入和 xss 攻击了