php – 如何使用存储过程使用MySQLi准备语句

我正在尝试更多地了解 MySQL以及如何防止SQL注入,所以我的研究已经把我带到准备好的陈述,这似乎是要走的路.

我也在努力学习如何编写存储过程,现在我正在尝试将两者结合起来.虽然这方面的信息不多.

在我的PHP测试应用程序中,我有一个函数,使用正常的MySQL命令调用SP,如下所示:

mysql_query(“CALL usp_inserturl(‘$longurl’,’$short_url’,’$source’)”);

如何使用MySQLi和Prepared Statement来尽可能安全地进行注射?

谢谢!

您可能会发现以下使用答案:

MySql: Will using Prepared statements to call a stored procedure be any faster with .NET/Connector?

此外:

GRANT只执行权限,因此您的应用程序级用户只能调用存储过程.这样,您的应用程序用户只能通过您的存储过程API与数据库交互,它们不能直接:

select, insert, delete, update, truncate, drop, describe, show etc.

没有那么安全得多.唯一的例外是如果你在存储过程中使用了动态sql,我会不惜一切代价避免 – 或者至少要知道你这样做的危险.

在构建数据库时,例如foo_db,我通常会创建两个用户.第一个foo_dbo(数据库所有者)是拥有数据库并被授予完全权限(ALL)的用户,因此他们可以根据需要创建模式对象和操作数据.第二个用户foo_usr(应用程序用户)仅被授予执行permisisons,并在我的应用程序代码中用于通过我创建的存储过程API访问数据库.

grant all on foo_db.* to foo_dbo@localhost identified by 'pass';

grant execute on foo_db.* to foo_usr@localhost identified by 'pass';

最后,您可以使用mysql_real_escape_string改进上面的代码示例:

> http://php.net/manual/en/function.mysql-real-escape-string.php

$sqlCmd = sprintf("call usp_inserturl('%s','%s','%s')", 
 mysql_real_escape_string($longurl),  
 mysql_real_escape_string($shorturl), 
 mysql_real_escape_string($source));

$result = mysql_query($sqlCmd);

希望这可以帮助 :)

相关文章
相关标签/搜索