php pdo sql注入,PHP使用PDO简单实现防止SQL注入的方法

PHP使用PDO简单实现防止SQL注入的方法

方法一：execute代入参数<?php

if(count($_POST)!= 0) {

$host = 'aaa';

$database = 'bbb';

$username = 'ccc';

$password = '***';

$num = 0;

$pdo = new PDO("mysql:host=$host;dbname=$database", $username, $password);//创建一个pdo对象

foreach ($_POST as $var_Key => $var_Value) {

//获取POST数组最大值

$num = $num + 1;

}

//下标为i的数组存储的是商品id, 下标为j数组的存储的是此商品的库存

for($i=0;$i

{

//库存下标

$j = $i+1;

//判断传递过来的数据合法性

if(is_numeric(trim($_POST[$i])) && is_numeric(trim($_POST[$j]))){

//禁用prepared statements的仿真效果

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

//查询数据库中是否存在该ID的商品

//当调用 prepare() 时，查询语句已经发送给了数据库服务器，此时只有占位符 ? 发送过去，没有用户提交的数据

$stmt = $pdo->prepare("select good_id from delphi_test_content WHERE good_id = ?");

//当调用到 execute()时，用户提交过来的值才会传送给数据库，他们是分开传送的，两者独立的，SQL攻击者没有一点机会。

$stmt->execute(array($_POST[$i]));

//返回查询结果

$count = $stmt->rowCount();

//如果本地数据库存在该商品ID和库存记录，就更新该商品的库存

if($count != 0)

{

$stmt = $pdo->prepare("update delphi_test_content set content = ? WHERE good_id = ?");

$stmt->execute(array($_POST[$j], $_POST[$i]));

}

//如果本地数据库没有该商品ID和库存记录，就新增该条记录

if($count == 0)

{

$stmt = $pdo->prepare("insert into delphi_test_content (good_id,content) values (?,?)");

$stmt->execute(array($_POST[$i], $_POST[$j]));

}

}

}

$pdo = null;

//关闭连接

}

?>

方法二：bindParam绑定参数<?php

if(count($_POST)!= 0) {

$host = 'aaa';

$database = 'bbb';

$username = 'ccc';

$password = '***';

$num = 0;

$pdo = new PDO("mysql:host=$host;dbname=$database", $username, $password);//创建一个pdo对象

foreach ($_POST as $var_Key => $var_Value) {

//获取POST数组最大值

$num = $num + 1;

}

//下标为i的数组存储的是商品id, 下标为j数组的存储的是此商品的库存

for($i=0;$i

{

//库存下标

$j = $i+1;

//判断传递过来的数据合法性(此数据为商品编号以及库存，严格来说字符串全是由数字组成的)

if(is_numeric(trim($_POST[$i])) && is_numeric(trim($_POST[$j]))){

//查询数据库中是否存在该ID的商品

$stmt = $pdo->prepare("select good_id from delphi_test_content WHERE good_id = ?");

$stmt->execute(array($_POST[$i]));

$stmt->bindParam(1,$_POST[$i]);

$stmt->execute();

//返回查询结果

$count = $stmt->rowCount();

//如果本地数据库存在该商品ID和库存记录，就更新该商品的库存

if($count != 0)

{

$stmt = $pdo->prepare("update delphi_test_content set content = ? WHERE good_id = ?");

$stmt->execute(array($_POST[$j], $_POST[$i]));

$stmt->bindParam(1,$_POST[$j]);

$stmt->bindParam(2,$_POST[$i]);

$stmt->execute();

}

//如果本地数据库没有该商品ID和库存记录，就新增该条记录

if($count == 0)

{

$stmt = $pdo->prepare("insert into delphi_test_content (good_id,content) values (?,?)");

$stmt->bindParam(1,$_POST[$i]);

$stmt->bindParam(2,$_POST[$j]);

$stmt->execute();

}

}

}

$pdo = null;

//关闭连接

}

?>