Le istruzioni preparate in PHP DOP devono essere sottoposte a escape?

Question

Sul PDO::Prepare page si afferma,

"e aiuta a prevenire attacchi di SQL injection, eliminando la necessità di citare manualmente i parametri"

Sapendo questo, c'è una funzione PHP come mysql_real_escape_string() che si prende cura delle punture in fuga per DOP? O il PDO si prende cura di tutto ciò che fugge per me?

EDIT

Mi rendo conto ora che ho chiesto la domanda sbagliata. La mia domanda è stata davvero: "Che cosa si occupa di DOP per me?" Che ora capisco con queste risposte che rimuove davvero solo la necessità di sfuggire alle citazioni. Ma avrei comunque bisogno di fare qualsiasi altra sanitizzazione PHP sui valori che passo alla funzione execute. Come htmlentities(), strip_tags() ... ecc ...

Answer 1

PDO non sfugge alle variabili. Le variabili e il comando SQL vengono trasferiti in modo indipendente tramite la connessione MySQL. E il tokenizzatore SQL non analizza mai i valori. I valori vengono copiati letteralmente nella memoria del database senza la possibilità di causare alcun danno. Ecco perché non è necessario eseguire il marshalling dei dati con istruzioni preparate.

Si noti che questo è principalmente un vantaggio di velocità. Con mysql_real_escape_string() prima si esegue il marshalling delle variabili in PHP, quindi si invia un comando SQL inefficiente al server, che deve costare di nuovo il costoso comando SQL dai valori. Questo è il motivo per cui si dice spesso che il vantaggio di sicurezza è solo implicito, non il motivo principale per l'utilizzo di PDO.

Se concat il comando SQL e in realtà non usano statments preparati, allora sì, c'è ancora una funzione di via di fuga per i prodotti DOP (non va bene!): $pdo->quote($string)

Answer 2

Non devi preoccuparti. PDO non richiede di sfuggire i dati prima di passarli al database.

Edit: Giusto per essere chiari, voglio dire che fino a quando si passa variabili nei vostri parametri (ad esempio, il valore di un campo di modulo), non dovete preoccuparvi di questo. Tuttavia, se stai passando variabili che hai definito come stringhe, ad esempio, ovviamente devi sfuggire a qualsiasi cosa che richieda l'escape in quella stringa per evitare di rompere la sintassi. Tuttavia, questo non avrebbe molto senso dal momento che uno dei principali vantaggi di PDO è il passaggio delle informazioni dall'utente al database senza doverle disinfettare da solo, e non ci sono molte volte (se ce ne sono?) che passeresti stringhe che tu stesso hai definito.

Inoltre, assicurarsi di aver ancora disinfettato i dati per tipo. Ad esempio, assicurarsi che sia un numero intero, se si aspetta che sia, assicurarsi che sia minore o maggiore di x se ci si aspetta che sia, ecc

Answer 3

Sì e no:

• letterali che si incorporare nella stringa dell'istruzione è necessario eseguire l'escape come normale.
• I valori che vengono associati all'istruzione preparata vengono gestiti dalla libreria.

Answer 4

Se si prepara una dichiarazione e si utilizza bindParam o bindValue per fornire variabili, non è necessario sfuggire alle variabili. Nota che queste funzioni presuppongono che la variabile contenga una stringa, quindi usa il terzo parametro per bindValue se vuoi usare booleans o float.

Answer 5

Pochissime persone qui capisce che cosa è e fuga quando usarlo.
L'evasione non rende i dati "sicuri". basta sfuggire ai delimitatori, per distinguere un delimitatore da una parte di dati. field = 'it's me' causerà un errore, mentre field = 'it\'s me' no. Questo è l'unico scopo di fuggire. Quindi, funziona solo quando usi le virgolette. Se non lo fai, scappare diventa inutile.

Utilizzi le virgolette con i segnaposto? No. Quindi, nessuna fuga sarebbe ragionevole.

Quando si utilizza il collegamento, funziona in modo molto diverso.
Non invia l'intera query al server, ma invia la query preparata separatamente dai dati associati. Quindi non può interferire. E quindi nessuna iniezione possibile.