PDO准备好的语句是否足以阻止SQL注入？

Question

PDO准备好的语句是否足以阻止SQL注入？

假设我有这样的代码：

$dbh = new PDO("blahblah");

$stmt = $dbh->prepare('SELECT * FROM users where username = :username');

$stmt->execute( array(':username' => $_REQUEST['username']) );

PDO文件说：

准备语句的参数不需要引用; 司机为你处理。

这真的是我需要做的就是避免SQL注入吗？这真的很容易吗？

如果它有所作为，你可以假设MySQL。另外，我真的只是对使用针对SQL注入的预处理语句感到好奇。在这种情况下，我不关心XSS或其他可能的漏洞。

Answer 1

不，他们并不总是。这取决于您是否允许将用户输入放在查询本身中。例如：$dbh = new PDO("blahblah");$tableToUse = $_GET['userTable'];$stmt = $dbh->prepare('SELECT * FROM ' . $tableToUse . ' where username = :username');$stmt->execute( array(':username' => $_REQUEST['username']) );将容易受到SQL注入的攻击，并且在此示例中使用预准备语句将不起作用，因为用户输入用作标识符，而不是数据。这里正确的答案是使用某种过滤/验证，如：$dbh = new PDO("blahblah");$tableToUse = $_GET['userTable'];$allowedTables = array('users','admins','moderators');if (!in_array($tableToUse,$allowedTables))     $tableToUse = 'users';$stmt = $dbh->prepare('SELECT * FROM ' . $tableToUse . ' where username = :username');$stmt->execute( array(':username' => $_REQUEST['username']) );注意：您不能使用PDO绑定超出DDL（数据定义语言）的数据，即这不起作用：$stmt = $dbh->prepare('SELECT * FROM foo ORDER BY :userSuppliedData');以上不起作用的原因是因为DESC而ASC不是数据。PDO只能逃避数据。其次，你甚至不能'在它周围加上引号。允许用户选择排序的唯一方法是手动过滤并检查它是否为DESC或ASC。