1

Знаю, что есть такая вещь как подготовленные запросы. Например в PDO PHP можно быть увереным, что никаких SQL инъекций случиться не может если писать например:

$stmt = $dbh->prepare("INSERT INTO `test_table` (name, value) VALUES (?, ?)");
$stmt->bindParam(1, $name);
$stmt->bindParam(2, $value);        
$name = 'one';
$value = 1;
$stmt->execute();

Я понимаю, что это всё, по факту, вызывает методы PREPARE и EXECUTE самой БД, но я не смог правильно составить запрос в поиске о том, почему это работает? То есть понятно, что запрос как бы сохраняется в кеше и туда подставляются данные. Но, они же подставляются в итоге. Почему это безопасно? Почему инъекция в этом случае невозможна? Все переменные (плейсхолдеры) в итоге в БД обрабатываются специальными функциями как только им говорят prepare?

2
  • Открой эксель. Положи в А1 значение aaa'@par1'bbb. Положи в А2 значение aaa'@par2'bbb. Выполни поиск/замену @par1 на ccc'ddd. Выполни текст по столбцам по одинарной кавычке. Выполни поиск/замену @par2 на ccc'ddd. Результат - разный... Вот первое - это прямая подстановка в запрос, а второе - подстановка в подготовленный запрос.
    – Akina
    5 дек 2018 в 8:24
  • В первом случае последовательность (подставить - распарсить - выполнить). Во втором (распарсить - подставить - выполнить).
    – Akina
    5 дек 2018 в 8:28

1 ответ 1

3

Суть всех инъекций - подстановка лишних кавычек. Давайте определим, зачем вообще нужны кавычки в запросе. Когда вы передаете текст запроса select * from tab where x='abc' серверу, первым делом в дело вступает синтаксический анализатор, который превращает принятый текст в понятный машине вид. На этом этапе анализатору надо найти все ключевые слова, определить где и какие используются имена таблиц и колонок БД, а где стоят константы. Если условие выглядит x=563, то на этапе лексического разбора константу сразу видно, потому, что она начинается с цифры, а имена объектов БД (не заключенные в обратные апострофы) с цифр начинаться не могут. Но в случае x=abc понять что такое abc имя колонки или константа анализатор не может. Для этого и придуманы кавычки, они подсказывают анализатору, что вот тут началась константа. Метод prepare обычно работает на уровне драйвера БД и самого сервера БД. Именно тот текст, который вы ему передали проходит стадию синтаксического разбора. Итогом которого является некое дерево выполнения, выраженное в виде структур данных, понятных исполнителю. И в этом дереве просто известно, что вот в этом узле надо будет подставить константу, когда она будет получена при execute. Все, что передается при execute, приходит в него отдельными параметрами, лексического и синтаксического разбора этих параметров не требуется. Соответственно никаких специальных обозначений "это константа" то же не нужно. А раз не надо никак обозначать константы, то и подставить лишние кавычки просто некуда, любые кавычки будут восприняты как часть данных.

1

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.