PDO防止sql注入原理

PDO预处理

$pdo = new PDO("mysql:host=localhost;dbname=test","user","pwd");
$sql = "insert into user(name,age) values(?,?)";   // ?号的方式
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
//PDO有一项参数，名为PDO::ATTR_EMULATE_PREPARES ，表示是否使用PHP本地模拟prepare
$stmt = $pdo->prepare($sql);
$stmt->execute(array('test77',55));
echo $stmt->rowCount();  //返回受影响的行数

PDO防止sql注入原理

在php5.3.6之后，pdo不会在本地对sql进行拼接然后将拼接后的sql传递给mysql server处理（也就是不会在本地做转义处理）。pdo的处理方法是在prepare函数调用时，将预处理好的sql模板（包含占位符）通过mysql协议传递给mysql server，告诉mysql server模板的结构以及语义。当调用execute时，将两个参数传递给mysql server。由mysql server完成变量的转移处理。将sql模板和变量分两次传递，即解决了sql注入问题。