文章介紹了Php中用PDO查詢Mysql來避免SQL注入風險的方法。需要的朋友參考下.
當我們使用傳統的 mysql_connect 、mysql_query方法來連線查詢資料庫時，如果過濾不嚴，就有SQL注入風險，導致網站被攻擊，失去控制。雖然可以用mysql_real_escape_string()函式過濾使用者提交的值，但是也有缺陷。而使用PHP的PDO擴充套件的 prepare 方法，就可以避免sql injection 風險。
PDO(PHP Data Object) 是PHP5新加入的一個重大功能，因為在PHP 5以前的php4/php3都是一堆的資料庫擴充套件來跟各個資料庫的連線和處理，如 php_。 PHP6中也將預設使用PDO的方式連線，mysql擴充套件將被作為輔助 。官方：
1、PDO配置
使用PDO擴充套件之前，先要啟用這個擴充套件，中，去掉"extension=php_"前面的";"號,若要連線資料庫，還需要去掉與PDO相關的資料庫擴充套件前面的";"號（一般用的是php_pdo_），然後重啟Apache服務器即可。
複製程式碼 程式碼如下:
extension=php_
extension=php_pdo_
2、PDO連線mysql資料庫
複製程式碼 程式碼如下:
$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password");
預設不是長連線，若要使用資料庫長連線，需要在最後加如下引數:
複製程式碼 程式碼如下:
$dbh = new PDO("mysql:host=localhost;dbname=db_demo","root","password","array(PDO::ATTR_PERSISTENT => true)");
$dbh = null; //(釋放)
3、PDO設定屬性
1) PDO有三種錯誤處理方式：
? PDO::ERrmODE_SILENT不顯示錯誤資訊，只設置錯誤碼
? PDO::ERrmODE_WARNING顯示警告錯
? PDO::ERrmODE_EXCEPTION丟擲異常
可通過以下語句來設定錯誤處理方式為丟擲異常
複製程式碼 程式碼如下:
$db->setAttribute(PDO::ATTR_ERrmODE, PDO::ERrmODE_EXCEPTION);
當設定為PDO::ERrmODE_SILENT時可以通過呼叫errorCode() 或errorInfo()來獲得錯誤資訊，當然其他情況下也可以。
2) 因為不同資料庫對返回的欄位名稱大小寫處理不同，所以PDO提供了PDO::ATTR_CASE設定項（包括PDO::CASE_LOWER，PDO::CASE_NATURAL，PDO::CASE_UPPER），來確定返回的'欄位名稱的大小寫。
3) 通過設定PDO::ATTR_ORACLE_NULLS型別（包括PDO::NULL_NATURAL，PDO::NULL_EmpTY_STRING，PDO::NULL_TO_STRING）來指定資料庫返回的NULL值在php中對應的數值。
4、PDO常用方法及其應用
PDO::query() 主要是用於有記錄結果返回的操作，特別是SELECT操作
PDO::exec() 主要是針對沒有結果集合返回的操作，如INSERT、UPDATE等操作
PDO::prepare() 主要是預處理操作，需要通過$rs->execute()來執行預處理裡面的SQL語句，這個方法可以繫結引數，功能比較強大（防止sql注入就靠這個）
PDO::lastInsertId() 返回上次插入操作，主鍵列型別是自增的最後的自增ID
PDOStatement::fetch() 是用來獲取一條記錄
PDOStatement::fetchAll() 是獲取所有記錄集到一個集合
PDOStatement::fetchColumn() 是獲取結果指定第一條記錄的某個欄位，預設是第一個欄位
PDOStatement::rowCount() :主要是用於PDO::query()和PDO::prepare()進行DELETE、INSERT、UPDATE操作影響的結果集，對PDO::exec()方法和SELECT操作無效。
5、PDO操作MYSQL資料庫例項
複製程式碼 程式碼如下:
<?php
$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");
if($pdo -> exec("insert into db_demo(name,content) values('title','content')")){
echo "插入成功！";
echo $pdo -> lastinsertid();
}
?>
複製程式碼 程式碼如下:
<?php
$pdo = new PDO("mysql:host=localhost;dbname=db_demo","root","");
$rs = $pdo -> query("select * from test");
$rs->setFetchMode(PDO::FETCH_ASSOC); //關聯陣列形式
//$rs->setFetchMode(PDO::FETCH_NUM); //數字索引陣列形式
while($row = $rs -> fetch()){
print_r($row);
}
?>
複製程式碼 程式碼如下:
