Привет! Я понимаю, может быть это туповатый вопрос, но все же хочется спросить: есть пока на 15% написаный PHP движок с использованием mysqli
. Все было норм, но потом мне все начали говорить про PDO
, что он якобы безопаснее, предотвращает инъекции и прочее. Так вот вопрос: стоит ли учить PDO и переписывать движок под него и почему в PDO безопасность якобы выше? Чем это обусловлено? Про то, что у PDO
чуть урезанный функционал, вообще не парит, так как я и 30% функций mysqli
попросту не юзаю.
-
Ни тот, ни другой не защитят вас от самих себя..– vp_arth9 апр 2017 в 7:57
1 ответ
В документации есть достаточно подробные разделы про это дело
Расширения PDO и mysqli - это не более, чем API доступа к выбранной библиотеке БД.
Что PDO, что mysqli предоставляют практически идентичный функционал и, с точки зрения "безопасности и предотвращения инъекций" разницы нет никакой.
Причины, почему имеет смысл использовать PDO:
1) Вам нужны подготовленные запросы на стороне клиента
2) У вас в проекте будут использоваться коннекты к отличным от MySQL базам (postgres например). В таком случае PDO даст единообразность кода для работы с разными БД.
-
Да, спасибо. Я понял. Но наверное буду использовать mysqli все таки, просто безопасность придется немного регулярками подправить. 9 апр 2017 в 8:02
-
@EugenEray вот не рекомендовал бы. Обеспечивать безопасность регулярками - это как тушить костер бензином. Что именно вы имеете в виду под безопасностью? В 99.99% случаев достаточно просто использовать подготовленные запросы.– rjhdby9 апр 2017 в 8:07
-
Да, PDO может быть и лучше (посмотрим, когда выучу), но ведь в .htaccess тоже можно безопасность сделать? 9 апр 2017 в 8:22
-
@EugenEray А причем тут .htaccess вы можете им конечно ограничить доступ к определенным разделам сайта. но причем тут sql-инъекции ? Вы главное всегда все параметры запросов подставляйте в виде
?
и всегда используйте bind_param php.net/manual/ru/mysqli-stmt.bind-param.php в PDO это немного проще, потому что можно вместо bind передавать параметры запроса прямо execute– Mike9 апр 2017 в 8:26 -
@Mike Я думал, что именованные параметры
:id, :pass, :name
типа лучше. 9 апр 2017 в 9:54