Популярные ответы с меткой

29 голосов
Принятый

Защищают ли подготовленные выражения/переменные полностью от SQL инъекций?

Безопасность Если говорить о числовых и строковых литералах в запросе - то да, защищают. Этого достаточно и ничего больше не надо делать? В общем случае - ничего. В случае с ПДО также желательно еще ...
Ипатьев's user avatar
22 голоса

Защищают ли подготовленные выражения/переменные полностью от SQL инъекций?

Кратко Механизм prepared statements в контексте безопасности только обеспечит корректную передачу самого запроса и значений параметров для него из кода в СУБД. Не меньше, но и не больше. Отстрелить ...
Мелкий's user avatar
  • 21.5k
13 голосов
Принятый

PHP PDO в чем разница ATTR_EMULATE_PREPARES, false и true

С PDO::ATTR_EMULATE_PREPARES в значении true за обработку подготовленных выражений отвечает сам PDO. В базу данных передаётся чистый запрос с уже подставленными и корректно экранированными данными (...
Мелкий's user avatar
  • 21.5k
12 голосов

Защищают ли подготовленные выражения/переменные полностью от SQL инъекций?

Если база поддерживает раздельную передачу запроса и данных, а драйвер базы данных использует эту фичу - вы в безопасности. Данные переданные отдельно от запроса никак не могут повлиять на исходный ...
vp_arth's user avatar
  • 27.1k
11 голосов

Как полностью обезопасить работу с Mysql?

Для защиты от SQL инъекций перейдите на расширение PDO или mysqli и воспользуйтесь функцией bindParam. Функции mysql_* устарели и больше не поддерживаются. Пример использования для PDO <?php /...
Invision's user avatar
  • 3,011
7 голосов
Принятый

PDO ошибка выборки c LIMIT

В режиме эмуляции все переданные через execute() переменные PDO подставляет в запрос как строки, и в итоге запрос получается LIMIT '10', '1' что вызывает ошибку. Самым простым решением будет ...
Ипатьев's user avatar
7 голосов
Принятый

Почему я могу использовать fetchAll() в классе PDOStatement только 1 раз?

Согласно документации: PDOStatement::fetchAll() возвращает массив, содержащий все оставшиеся строки результирующего набора. Обратите внимание на слово "оставшиеся" и подумайте: Вы выполнили ...
Akina's user avatar
  • 31k
6 голосов
Принятый

Какой id вернёт lastInsertId() из PDO?

Вернуть id последнего добавленного тобою элемента - единственное предназначение этой функции. Если бы она этого не делала, то попросту не имела бы смысла. Для mysql эта функция возвращает результат ...
Ипатьев's user avatar
6 голосов
Принятый

Метод для PDO для подключения к базе и исполнения

Начнем с того что, как я уже говорил раньше, как сам код, так и подход в целом не имеют смысла. Даже в том виде, в котором эта функция нужна автору впопроса, она должна выглядеть как public function ...
Ипатьев's user avatar
6 голосов

PhpMyAdmin - отображение русских символов в неправильной кодировке (именно отображение, данные - в верной кодировке)

"Кракозябры" в строке - следствие отображения UTF-8 в cp1252. В cp1252 нет кириллических символов. Данные в таблице могут быть в правильной кодировке, но клиент (скрипт) может просить данные в другой ...
Andrew Hobbit's user avatar
6 голосов
Принятый

Как грамотно вставить название таблицы из переменной в SQL-запрос? PHP/PDO

Начнем с заблуждений. mysql_real_escape_string. многие поколения пхп кодеров считали и считают, что эта функция служит для защиты от неких инъекций. С такой точки зрения ее применение, конечно, ...
Ипатьев's user avatar
5 голосов
Принятый

Проблема с ПДО и ООП

В этом коде неправильно ВСЁ. Я бы рекомендовал отложить на время изучение ООП. И покрепче освоить сначала базовый синтаксис PHP, чтобы хотя бы не путать функции с переменными. Учиться надо ...
Ипатьев's user avatar
5 голосов

Pdo экранирование кавычек

Не подставлять значения напрямую, а использовать плейсхолдеры $query = 'INSERT INTO news (text) VALUES (:text)'; $statement = $pdo->prepare($query); $statement->bindValue(':text', $text); $...
etki's user avatar
  • 36.1k
5 голосов
Принятый

Переменная PHP внутри запроса MySQL

Данные в запрос надо передавать только через специальные маркеры, которые называются параметрами или плейсхолдерами. Например, посмотрите в сторону PDO <?php /* Выполнение запроса с привязкой PHP ...
noadev's user avatar
  • 489
5 голосов
Принятый

Для чего нужен prepare в PDO PHP?

Очень хороший вопрос. Во-первых, для корректного форматирования данных. Вот здесь есть хорошее объяснение, но оно по-английски. Если коротко, то любые данные, которые попадают в запрос, должны быть ...
Ипатьев's user avatar
5 голосов

Почему pdo обрезает нули при UPDATE в таблицу?

PDO здесь абсолютно не при чем. Для работы с БД надо знать, какие значения можно записывать в выбранное поле. При этом не надо удивляться странностям БД, записывая строку (именно строку, а не число) в ...
Ипатьев's user avatar
5 голосов

Проблема с foreach в PDO php

Здесь не хватает информирования об ошибках. после строки $db = new PDO('mysql:host=localhost;dbname=table','root','12345'); надо всегда писать вот такую $db->setAttribute( PDO::ATTR_ERRMODE, ...
Ипатьев's user avatar
5 голосов
Принятый

Преобразование двухтабличного запроса MySQL в ассоциативный массив PHP

PDO умеет строить массив с указанной вами структурой. Надо только указать это ключами PDO::fetchall. Сам SQL запрос модифицировать не нужно: $sql = 'SELECT `question`, `answer` FROM `questions` INNER ...
Mike's user avatar
  • 44k
5 голосов

Переполнение в PDO

Как решить данную проблему? Не делать запросов вида SELECT * FROM table, а всегда запрашивать только те данные, которые нужны для отображения на странице. И тем более не применять чудовищные ...
Ипатьев's user avatar
5 голосов
Принятый

проблема с foreach и записью в бд

Генерировать SQL-запрос таким образом является крайне плохой практикой. Более правильно сначала подготовить запрос и выполнять каждый INSERT отдельно $stmt = $pdo->prepare("INSERT INTO images_big(...
rjhdby's user avatar
  • 13.9k
5 голосов
Принятый

PHP PDO количество строк - как правильно?

Тебе это не нужно Если коротко, то rowCount() для селекта - это самая бессмысленная функция во всех Database API Случаев, когда тебе может понадобиться что-то посчитать, ровно два: У тебя уже есть ...
Ипатьев's user avatar
5 голосов
Принятый

Не могу выполнить PDO::exec запрос через аякс

Скорее всего потому, что вы вызываете метод статический. $db = new PDO('mysql:host=localhost;dbname=users', $user, $pass); $db->exec($query);
Kostiantyn Okhotnyk's user avatar
5 голосов
Принятый

Как правильно сделать авторизацию с помощью PDO?

Ошибок у вас довольно много. Некоторые из них: В sql запросе в самом начале стоит лишний апостроф. Также пишется SELECT * FROM , а не SELECT FROM * Если вы делаете запрос в prepare, то для начала ...
Dmitry_allread_return's user avatar
4 голоса
Принятый

Зачем нужны классы для PDO

99% классов для PDO не нужны. Потому что PDO - уже класс, и чтобы его улучшить, нужно быть очень хорошим программистом. Обычно же писать обертки для PDO берутся криворукие нубы, которые не умеют ...
Ипатьев's user avatar
4 голоса

SQLSTATE[42000] [1044] Access denied for user

Попробуйте использовать 127.0.0.1 вместо localhost. С точки зрения БД это разные значения.
iosp's user avatar
  • 799
4 голоса
Принятый

Безопасность экранирования через PDO

У тебя несколько противоречивые заявления. В вопросе ты пишешь: безопасно ли вставлять сразу PDO подготовленный запрос, содержимое которое пришло от юзера, напрямую? Это не совсем по-русски, но ...
Ипатьев's user avatar
4 голоса

Вставить условие в запрос PDO?

Подставить кусок SQL через плейсхолдер нельзя Так что придется городить гуанокод $sql = "SELECT * FROM `table` WHERE `money` = :m AND date(`date`) = '2016-08-11'"; if ($and) { $sql .= ' AND `...
Ипатьев's user avatar
4 голоса

Как получить в PDO объект?

PDO::FETCH_CLASS создает и возвращает объект запрошенного класса, присваивая значения столбцов результирующего набора именованным свойствам класса, и следом вызывает конструктор, если не задан ...
teran's user avatar
  • 28.9k
4 голоса

Почему я могу использовать fetchAll() в классе PDOStatement только 1 раз?

Потому что PDO fetchAll отбирает оставшиеся записи. Следовательно после первого прохода таких записей не остается. Для того, что бы заново отобрать данные с помощью этого метода надо вернуть текущую ...
Alex Krass's user avatar
  • 17.5k

Допускаются только превышающие минимальную длину ответы с наивысшим рейтингом, не являющиеся общими