5

In my code Im trying to translate mysql_real_escape_string into a PDO statement. Does somebody have a tip on how to write mysql_real_escape_string in PDO?

Im using mysql_real_escape_string in two lines: $userName = mysql_real_escape_string($_POST['username']); $password = sha1(mysql_real_escape_string($_POST['password']));

<?php
ob_start();
session_start();
include("../database/db.php");

$userName = mysql_real_escape_string($_POST['username']);
$password = sha1(mysql_real_escape_string($_POST['password']));
echo "<br>user: " . $userName;
echo "<br> pw: " . $password;

$query = "select * from tbladmin where admin_usr_name='$userName' and admin_pwd='$password'";

$res = mysql_query($query);

// $rows = $res->fetch(PDO::FETCH_ASSOC); 
$rows = mysql_fetch_assoc($res);
echo "<br>numrows" . mysql_num_rows($res) . "<br>";

// $find = $query->prepare("select * from tbladmin where admin_usr_name='$userName' and admin_pwd='$password'");
// $find->execute();
// if ($find->fetchColumn() > 0)
// {
// echo 'You made it, welcome';
//  $_SESSION['userName']  =  $rows['admin_usr_name'];
//  $_SESSION['admin_id'] = $rows['admin_id'];
//  header("location: ../pages/content.php");
// }
// else
// {
//  echo 'Username and password dont match <br/> Try again';
//  header("location: ../index.php?loginerror=yes");
// } 

if(mysql_num_rows($res)>0)
{
    $_SESSION['userName']  =  $rows['admin_usr_name'];
    $_SESSION['admin_id'] = $rows['admin_id'];
    header("location: ../pages/content.php");
}
else
{
    echo 'Username and password dont match <br/> Try again';
    header("location: ../index.php?loginerror=yes");
}

?>

This is what Im trying to do with PDO

  $host = "localhost"; 
$user = "root"; 
$password = "root";
$db = "blog";

$dsn = "mysql:host=$host;dbname=$db;charset=utf8";
$opt = array(PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC);
$pdo = new PDO($dsn,$user,$password, $opt);

$username = $_POST['username'];
$password = $_POST['password'];
$query = "select * from tbladmin where admin_usr_name=:userName and admin_pwd=:passWord";

try 
{   
$databas = new PDO($dsn, $user, $password);
} 
catch (PDOException $e) 
{
echo 'Connection failed: ' . $e->getMessage();
}

$statement = $databas->prepare($query);

$statement->execute(array(':userName'=>$username, ':passWord'=> $password)); 
$row = $statement->fetch();

I always get this error: Call to a member function prepare() on a non-object

4

3 に答える 3

7

ポイントは、パラメータ化されたクエリとバインドされた値を含む準備済みステートメントを使用することですmysql_real_escape_string。

バインドされた値とパラメーター化されたクエリ/準備されたステートメントの使用方法については、PDO のドキュメントを参照してください。

ポイントは、次のように SQL クエリを作成することです。

$query = $pdo->prepare("SELECT * FROM users WHERE username = ? and password = ?");

次に、? の代わりにバインドされた値を渡します。記号であるため、クエリは次のように文字どおりにのみ実行されます。

$query->bindParam(1, $username);
$query->bindParam(2, $password);

上記の変数内などの SQL インジェクションの試みは1'; DROP users --、文字どおりに呼び出されるため、機能しなくなります。

于 2013-03-26T22:04:33.537 に答える
4

PDO では必要ありません。少なくとも、必要になることはめったにありません。

于 2013-03-26T22:09:20.183 に答える
1

前に述べたように、エスケープを使用する必要はありません...これは、? で値をバインドすることでより安全に処理されるためです または sql-statement でコロンを使用して名前を付ける

私はこのようなことをします：

<?php
$username = $_POST['username'];
$password = $_POST['password'];
$query = "select * from tbladmin where admin_usr_name=:userName and admin_pwd=:passWord";

try {   
  $db = new PDO($dsn, $un, $pw);
} catch (PDOException $e) {
  echo 'Connection failed: ' . $e->getMessage();
}

$statement = $db->prepare($query);

//:userName and :passWord is set when actually executing the query
$statement->execute(array(':userName'=>$username, ':passWord'=> $password)); 
$row = $statement->fetch();
?>

fetch() は 1 行 (結果セットの次の行) のみを返すことに注意してください。レコードセット全体にアクセスしたい場合は、次の 2 つの方法でこれを行うことができます。

  1. ORを使用して結果セットをループするwhile() { }
  2. $rows = $statement->fetchAll();配列 $rows を使用 してループする

オプション 1 をより大きな結果セットと一緒に使用します。

マイナーな結果セットでオプション 2 を使用します (そして、それほど大きくならないことがわかっています)。

PDO::ATTR_EMULATE_PREPARES の属性を設定する必要があるかどうかを考慮してください。詳細はこちら: PDO MySQL: Use PDO::ATTR_EMULATE_PREPARES or not?

于 2013-03-26T22:27:33.090 に答える