29
голосов
Принятый
Защищают ли подготовленные выражения/переменные полностью от SQL инъекций?
Безопасность
Если говорить о числовых и строковых литералах в запросе - то да, защищают.
Этого достаточно и ничего больше не надо делать?
В общем случае - ничего.
В случае с ПДО также желательно еще ...
22
голоса
Защищают ли подготовленные выражения/переменные полностью от SQL инъекций?
Кратко
Механизм prepared statements в контексте безопасности только обеспечит корректную передачу самого запроса и значений параметров для него из кода в СУБД. Не меньше, но и не больше. Отстрелить ...
13
голосов
Принятый
PHP PDO в чем разница ATTR_EMULATE_PREPARES, false и true
С PDO::ATTR_EMULATE_PREPARES в значении true за обработку подготовленных выражений отвечает сам PDO. В базу данных передаётся чистый запрос с уже подставленными и корректно экранированными данными (...
12
голосов
Защищают ли подготовленные выражения/переменные полностью от SQL инъекций?
Если база поддерживает раздельную передачу запроса и данных, а драйвер базы данных использует эту фичу - вы в безопасности.
Данные переданные отдельно от запроса никак не могут повлиять на исходный ...
11
голосов
Как полностью обезопасить работу с Mysql?
Для защиты от SQL инъекций перейдите на расширение PDO или mysqli и воспользуйтесь функцией bindParam.
Функции mysql_* устарели и больше не поддерживаются.
Пример использования для PDO
<?php
/...
7
голосов
Принятый
PDO ошибка выборки c LIMIT
В режиме эмуляции все переданные через execute() переменные PDO подставляет в запрос как строки, и в итоге запрос получается
LIMIT '10', '1'
что вызывает ошибку. Самым простым решением будет ...
7
голосов
Принятый
Почему я могу использовать fetchAll() в классе PDOStatement только 1 раз?
Согласно документации:
PDOStatement::fetchAll() возвращает массив, содержащий все оставшиеся строки результирующего набора.
Обратите внимание на слово "оставшиеся" и подумайте:
Вы выполнили ...
6
голосов
Принятый
Какой id вернёт lastInsertId() из PDO?
Вернуть id последнего добавленного тобою элемента - единственное предназначение этой функции. Если бы она этого не делала, то попросту не имела бы смысла.
Для mysql эта функция возвращает результат ...
6
голосов
Принятый
Метод для PDO для подключения к базе и исполнения
Начнем с того что, как я уже говорил раньше, как сам код, так и подход в целом не имеют смысла. Даже в том виде, в котором эта функция нужна автору впопроса, она должна выглядеть как
public function ...
6
голосов
PhpMyAdmin - отображение русских символов в неправильной кодировке (именно отображение, данные - в верной кодировке)
"Кракозябры" в строке - следствие отображения UTF-8 в cp1252. В cp1252 нет кириллических символов. Данные в таблице могут быть в правильной кодировке, но клиент (скрипт) может просить данные в другой ...
6
голосов
Принятый
Как грамотно вставить название таблицы из переменной в SQL-запрос? PHP/PDO
Начнем с заблуждений.
mysql_real_escape_string. многие поколения пхп кодеров считали и считают, что эта функция служит для защиты от неких инъекций. С такой точки зрения ее применение, конечно, ...
5
голосов
Принятый
Проблема с ПДО и ООП
В этом коде неправильно ВСЁ.
Я бы рекомендовал отложить на время изучение ООП. И покрепче освоить сначала базовый синтаксис PHP, чтобы хотя бы не путать функции с переменными.
Учиться надо ...
5
голосов
Pdo экранирование кавычек
Не подставлять значения напрямую, а использовать плейсхолдеры
$query = 'INSERT INTO news (text) VALUES (:text)';
$statement = $pdo->prepare($query);
$statement->bindValue(':text', $text);
$...
5
голосов
Принятый
Переменная PHP внутри запроса MySQL
Данные в запрос надо передавать только через специальные маркеры, которые называются параметрами или плейсхолдерами. Например, посмотрите в сторону PDO
<?php
/* Выполнение запроса с привязкой PHP ...
5
голосов
Принятый
Для чего нужен prepare в PDO PHP?
Очень хороший вопрос.
Во-первых, для корректного форматирования данных.
Вот здесь есть хорошее объяснение, но оно по-английски.
Если коротко, то любые данные, которые попадают в запрос, должны быть ...
5
голосов
Почему pdo обрезает нули при UPDATE в таблицу?
PDO здесь абсолютно не при чем.
Для работы с БД надо знать, какие значения можно записывать в выбранное поле.
При этом не надо удивляться странностям БД, записывая строку (именно строку, а не число) в ...
5
голосов
Проблема с foreach в PDO php
Здесь не хватает информирования об ошибках.
после строки
$db = new PDO('mysql:host=localhost;dbname=table','root','12345');
надо всегда писать вот такую
$db->setAttribute( PDO::ATTR_ERRMODE, ...
5
голосов
Принятый
Преобразование двухтабличного запроса MySQL в ассоциативный массив PHP
PDO умеет строить массив с указанной вами структурой. Надо только указать это ключами PDO::fetchall. Сам SQL запрос модифицировать не нужно:
$sql = 'SELECT `question`, `answer` FROM `questions` INNER ...
5
голосов
Переполнение в PDO
Как решить данную проблему?
Не делать запросов вида SELECT * FROM table, а всегда запрашивать только те данные, которые нужны для отображения на странице.
И тем более не применять чудовищные ...
5
голосов
Принятый
проблема с foreach и записью в бд
Генерировать SQL-запрос таким образом является крайне плохой практикой. Более правильно сначала подготовить запрос и выполнять каждый INSERT отдельно
$stmt = $pdo->prepare("INSERT INTO images_big(...
5
голосов
Принятый
PHP PDO количество строк - как правильно?
Тебе это не нужно
Если коротко, то rowCount() для селекта - это самая бессмысленная функция во всех Database API
Случаев, когда тебе может понадобиться что-то посчитать, ровно два:
У тебя уже есть ...
5
голосов
Принятый
Не могу выполнить PDO::exec запрос через аякс
Скорее всего потому, что вы вызываете метод статический.
$db = new PDO('mysql:host=localhost;dbname=users', $user, $pass);
$db->exec($query);
5
голосов
Принятый
Как правильно сделать авторизацию с помощью PDO?
Ошибок у вас довольно много. Некоторые из них:
В sql запросе в самом начале стоит лишний апостроф.
Также пишется SELECT * FROM , а не SELECT FROM *
Если вы делаете запрос в prepare, то для начала ...
4
голоса
Принятый
Зачем нужны классы для PDO
99% классов для PDO не нужны.
Потому что PDO - уже класс, и чтобы его улучшить, нужно быть очень хорошим программистом. Обычно же писать обертки для PDO берутся криворукие нубы, которые не умеют ...
4
голоса
SQLSTATE[42000] [1044] Access denied for user
Попробуйте использовать 127.0.0.1 вместо localhost. С точки зрения БД это разные значения.
4
голоса
Принятый
Безопасность экранирования через PDO
У тебя несколько противоречивые заявления. В вопросе ты пишешь:
безопасно ли вставлять сразу PDO подготовленный запрос, содержимое которое пришло от юзера, напрямую?
Это не совсем по-русски, но ...
4
голоса
Вставить условие в запрос PDO?
Подставить кусок SQL через плейсхолдер нельзя
Так что придется городить гуанокод
$sql = "SELECT * FROM `table` WHERE `money` = :m AND date(`date`) = '2016-08-11'";
if ($and) {
$sql .= ' AND `...
4
голоса
Как получить в PDO объект?
PDO::FETCH_CLASS создает и возвращает объект запрошенного класса,
присваивая значения столбцов результирующего набора именованным
свойствам класса, и следом вызывает конструктор, если не задан
...
4
голоса
Почему я могу использовать fetchAll() в классе PDOStatement только 1 раз?
Потому что PDO fetchAll отбирает оставшиеся записи. Следовательно после первого прохода таких записей не остается. Для того, что бы заново отобрать данные с помощью этого метода надо вернуть текущую ...
Допускаются только превышающие минимальную длину ответы с наивысшим рейтингом, не являющиеся общими
Связанные метки
pdo × 693php × 629
mysql × 321
sql × 116
база-данных × 38
mysqli × 28
ооп × 26
sql-server × 20
phpmyadmin × 15
mvc × 13
классы × 12
ajax × 10
modx × 10
sqlite3 × 10
php7 × 10
sqlite × 9
массивы × 8
yii2 × 8
php_pdo × 8
javascript × 7
html × 7
laravel × 7
postgresql × 7
select × 7
redbeanphp × 6