flawopen.com/SQL Injection в PHP/mysqli и PDO

MySQLi и PDO: безопасные подготовленные запросы

Один запрос с подготовкой в обеих API

$userId = $_GET['id'];
$sql = "SELECT id, email FROM users WHERE id = " . $userId;

// Both calls execute the already-built SQL string:
$rows = $mysqli->query($sql);
$rows = $pdo->query($sql);

// PDO
$stmt = $pdo->prepare(
    "SELECT id, email FROM users WHERE id = :id"
);
$stmt->execute(["id" => $userId]);

// MySQLi
$stmt = $mysqli->prepare(
    "SELECT id, email FROM users WHERE id = ?"
);
$stmt->bind_param("i", $userId);
$stmt->execute();

Портируемость между базами — главное отличие PDO

Правила защиты от SQL Injection для обеих библиотек

Вызывайте prepare() и связывайте каждое недоверенное значение. Оставляйте SQL-синтаксис фиксированным; динамические идентификаторы выбирайте из строгой серверной карты или конечного набора запросов. Подготовка не разрешает доступ к строке: при необходимости ограничьте запрос аутентифицированным пользователем. В LIKE привязка предотвращает SQL-инъекцию, но % и _ остаются подстановочными знаками без экранирования для буквального поиска.

Выбор между PDO и MySQLi

• ✓Выбирайте PDO для общего API разных драйверов; при миграции проверьте диалект SQL и поведение драйвера.
• ✓Выбирайте MySQLi для приложений только на MySQL/MariaDB, которым нужна его специфичная API.
• ✓В обоих случаях ищите интерполяцию, конкатенацию и динамические идентификаторы; связывайте значения, а записи авторизуйте отдельно.

Частые вопросы

Источники

• Руководство PHP — подготовленные запросы PDO
• Руководство PHP — подготовленные запросы MySQLi
• Руководство PHP — PDO::setAttribute и эмулируемая подготовка
• FlawOpen — SQL Injection в PHP