0

Привет! Я понимаю, может быть это туповатый вопрос, но все же хочется спросить: есть пока на 15% написаный PHP движок с использованием mysqli. Все было норм, но потом мне все начали говорить про PDO, что он якобы безопаснее, предотвращает инъекции и прочее. Так вот вопрос: стоит ли учить PDO и переписывать движок под него и почему в PDO безопасность якобы выше? Чем это обусловлено? Про то, что у PDO чуть урезанный функционал, вообще не парит, так как я и 30% функций mysqli попросту не юзаю.

1
  • Ни тот, ни другой не защитят вас от самих себя..
    – vp_arth
    9 апр 2017 в 7:57

1 ответ 1

1

В документации есть достаточно подробные разделы про это дело

Расширения PDO и mysqli - это не более, чем API доступа к выбранной библиотеке БД.

Что PDO, что mysqli предоставляют практически идентичный функционал и, с точки зрения "безопасности и предотвращения инъекций" разницы нет никакой.

Причины, почему имеет смысл использовать PDO:

1) Вам нужны подготовленные запросы на стороне клиента

2) У вас в проекте будут использоваться коннекты к отличным от MySQL базам (postgres например). В таком случае PDO даст единообразность кода для работы с разными БД.

5
  • Да, спасибо. Я понял. Но наверное буду использовать mysqli все таки, просто безопасность придется немного регулярками подправить.
    – Eugen Eray
    9 апр 2017 в 8:02
  • @EugenEray вот не рекомендовал бы. Обеспечивать безопасность регулярками - это как тушить костер бензином. Что именно вы имеете в виду под безопасностью? В 99.99% случаев достаточно просто использовать подготовленные запросы.
    – rjhdby
    9 апр 2017 в 8:07
  • Да, PDO может быть и лучше (посмотрим, когда выучу), но ведь в .htaccess тоже можно безопасность сделать?
    – Eugen Eray
    9 апр 2017 в 8:22
  • @EugenEray А причем тут .htaccess вы можете им конечно ограничить доступ к определенным разделам сайта. но причем тут sql-инъекции ? Вы главное всегда все параметры запросов подставляйте в виде ? и всегда используйте bind_param php.net/manual/ru/mysqli-stmt.bind-param.php в PDO это немного проще, потому что можно вместо bind передавать параметры запроса прямо execute
    – Mike
    9 апр 2017 в 8:26
  • @Mike Я думал, что именованные параметры :id, :pass, :name типа лучше.
    – Eugen Eray
    9 апр 2017 в 9:54

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.