flawopen.com/SQL Injection en PHP/mysqli vs PDO

MySQLi vs PDO : prepared statements sûres

La même requête préparée avec chaque API

$userId = $_GET['id'];
$sql = "SELECT id, email FROM users WHERE id = " . $userId;

// Both calls execute the already-built SQL string:
$rows = $mysqli->query($sql);
$rows = $pdo->query($sql);

// PDO
$stmt = $pdo->prepare(
    "SELECT id, email FROM users WHERE id = :id"
);
$stmt->execute(["id" => $userId]);

// MySQLi
$stmt = $mysqli->prepare(
    "SELECT id, email FROM users WHERE id = ?"
);
$stmt->bind_param("i", $userId);
$stmt->execute();

La portabilité entre bases est la principale différence de PDO

Règles anti-SQL Injection pour les deux bibliothèques

Utilisez prepare() et liez chaque valeur non fiable. Gardez la syntaxe SQL fixe ; sélectionnez les identifiants dynamiques via une map stricte côté serveur ou un ensemble fini de requêtes. Une prepared statement n’autorise pas l’accès à une ligne : limitez la requête à l’utilisateur authentifié si nécessaire. Avec LIKE, le binding prévient l’injection SQL, mais % et _ restent des jokers sans échappement pour une recherche littérale.

Choisir entre PDO et MySQLi

• ✓Choisissez PDO pour une API commune entre drivers ; vérifiez le dialecte SQL et le comportement du driver lors d’une migration.
• ✓Choisissez MySQLi pour une application MySQL/MariaDB qui nécessite son API spécifique.
• ✓Dans les deux cas, recherchez interpolation, concaténation et identifiants dynamiques ; liez les valeurs et autorisez les enregistrements séparément.

Questions fréquentes

Références

• Manuel PHP — prepared statements PDO
• Manuel PHP — prepared statements MySQLi
• Manuel PHP — PDO::setAttribute et préparations émulées
• FlawOpen — SQL Injection en PHP