9

В интернете я нашёл только один способ взлома Mysql базы данных - sql-инъекция. Однако там же я нашёл и решение, как не допустить попадание нежелательных символов в mysql_query:

$query  = sprintf("SELECT * FROM sometable WHERE somevar='%s'",
mysql_real_escape_string($var));
mysql_query($query);

И тем не менее, многие люди настойчиво рекомендуют переходить на другие расширения по работе с Mysql (PDO, например), считая оригинальное API априори небезопасным и недостаточно функциональным. На последнее я не жалуюсь, но безопасность важна для меня.

И вот вот вопрос: полностью ли меня обезопасил от хакерских атак код, приведённый выше? Если нет, то возможно ли мне обезопаситься полностью, не переходя на другие расширения?

3
  • расширение mysql для php официально признано устаревшим еще несколько лет назад (php.net/manual/ru/function.mysql-query.php прям в красной рамке сверху написано). Если не ошибаюсь, в актуальных версиях PHP 7.* оно уже отсутствует. Так что дело не только в том, что "люди говорят". Но на PDO переходить не обязательно, можно просто использовать mysqli аналогичным образом. 26 авг 2016 в 22:41
  • 1
    Сам недавно задавался подобным вопросом, и остановился на пдо. phpfaq.ru/pdo Чуток инфы
    – user190134
    26 авг 2016 в 22:43
  • 2
    В принципе обезопасили. От sql-инъекций. Но не обезопасили от проблем при переходе не другой хостинг, особенно в будущем, когда будет все меньше и меньше хостингов где в php будут функции mysql_*. Плюс к этому массовое выполнение запросов с разным текстом переполняет кеш запросов и ведет к деградации производительности сервера в целом. при использовании же pdo и bindParam этой проблемы так же нет, потому как текстов запросов не много, вместо параметров в текстах вопросительные знаки.
    – Mike
    26 авг 2016 в 22:45

3 ответа 3

11

Для защиты от SQL инъекций перейдите на расширение PDO или mysqli и воспользуйтесь функцией bindParam.

Функции mysql_* устарели и больше не поддерживаются.

Пример использования для PDO

<?php
   /* Выполнение запроса с привязкой PHP переменных */
    $calories = 150;
    $colour = 'red';
    $sth = $dbh->prepare('SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour');
    $sth->bindParam(':calories', $calories, PDO::PARAM_INT);
    $sth->bindParam(':colour', $colour, PDO::PARAM_STR, 12);
    $sth->execute();

Документация

Пример для mysqli

<?php    
    $sql = 'SELECT id, lastname FROM customers WHERE category = ? AND lastname LIKE ?';

    $stmt = $conn->prepare($sql);

    $category_id = 1;
    $lastname = '%Smith%';

    /* Bind параметры. Типы: s = string, i = integer, d = double,  b = blob */
    $stmt->bind_param('is', $category_id, $lastname);

    $stmt->execute();

Документация

2

Если рассматривать ситуацию только в контексте "безопасность запросов от хакерских атак", то ответ: "Да, код, приведённый выше, полностью обезопасил от хакерских атак".

Однако при разработке остальные моменты тоже нужно учитывать

-2

Нет, вы обезопасили себя не полностью. Вы не обезопасили себя от прямого подключения к вашему MySQL серверу. Ограничьте IP адреса, с которых можно подключаться к вашей базе данных - как в настройках пользователей MySQL, так и в настройках сетевого экрана.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.