jak bezpieczne są przygotowane oświadczenia PDO

Question

Rozpoczęto korzystanie z przygotowanych oświadczeń PDO nie tak dawno temu, i, jak rozumiem, robi to wszystko dla ciebie ucieczki/bezpieczeństwa.

na przykład, zakładając, że $ _POST ['title'] jest polem formularza.

$title = $_POST['title']; 
$query = "insert into blog(userID, title) values (?, ?)" 
$st = $sql->prepare($query); 
$st->bindParam(1, $_SESSION['user']['userID'], PDO::PARAM_INT); 
$st->bindParam(2, $title); 
$st->execute(); 

Czy to naprawdę bezpieczne? Czy muszę robić cokolwiek innego? co jeszcze muszę wziąć pod uwagę?

Dzięki.

Answer 1

Ściśle mówiąc, nie ma właściwie potrzeby ucieczki, ponieważ wartość parametru nigdy nie jest interpolowana do ciągu zapytania.

Sposób działania parametrów zapytania polega na tym, że zapytanie jest wysyłane do serwera bazy danych po wywołaniu prepare(), a wartości parametrów są wysyłane później, po wywołaniu execute(). Są więc oddzielone od tekstowej formy zapytania. Nigdy nie ma możliwości wstrzyknięcia SQL (pod warunkiem, że PDO::ATTR_EMULATE_PREPARES jest fałszywe).

Tak, parametry zapytania pomagają uniknąć tej luki w zabezpieczeniach.

Czy są one w 100% odporne na wszelkie luki w zabezpieczeniach? Nie, oczywiście nie. Jak być może wiesz, parametr zapytania zajmuje tylko miejsce pojedynczej wartości literowej w wyrażeniu SQL. Nie można zrobić jednego parametru zastępczego dla listy wartości, na przykład:

SELECT * FROM blog WHERE userid IN (?); 

nie można użyć parametru, aby nazwy tabel lub nazwy kolumn dynamiczna:

SELECT * FROM blog ORDER BY ?; 

Można „t użyć parametru dla innego rodzaju składni SQL:

SELECT EXTRACT(? FROM datetime_column) AS variable_datetime_element FROM blog; 

Tak więc istnieje sporo przypadków, w których trzeba manipulować kwerendy jako ciąg, przed wywołaniem prepare(). W takich przypadkach nadal trzeba napisać kod ostrożnie, aby uniknąć iniekcji SQL.

Answer 2

Jeśli chodzi o iniekcje SQL, uważam, że jest to najbezpieczniejsze rozwiązanie, szczególnie jeśli używane są stałe takie jak PDO :: PARAM_INT.

Answer 3

Jest bezpieczny od iniekcji SQL.

Kilka rzeczy, to nie jest bezpieczne od:

• Denial of Service (powodując nadmierne ilości wierszy zostać utworzone)
• cross-site ataków skryptowych (jeśli tytuł jest zawsze echem z powrotem do innego użytkownika)

Bezpieczeństwo to coś więcej niż zapobieganie iniekcji SQL.

Answer 4

Widząc, jak wspomniano o XSS, myślę, że warto przyjrzeć się używaniu takich rzeczy, jak ta wejściowa klasa czyszczenia http://www.phpclasses.org/browse/package/2189.html, aby zapobiec atakom XSS.