php pdo execute()를 첫 번째 sql 문 실행으로 제한

Question

첫 번째 sql 문만 실행하도록 PHP pdo execute()를 제한하는 방법이 있습니까?

모든 고객을 반환합니다

SELECT * FROM customer;DROP TABLE invoice

을 실행하는 예를 들어

뿐만 아니라 송장 테이블을 삭제합니다.

나는 사용자로부터 전체 SQL 문을 필요로하지만 SELECT와 추가 항목이 없어야합니다.

이 예는 악의적으로 입력 될 수있는 많은 예 중 하나입니다. 추가 DROP, UPDATE, DELETE 문 등을 포함 할 수 있습니다.

준비된 명령문은? s를 값으로 간단하게 바꿉니다. 그것은 위험한 SQL statemets이 전달되는 것을 막지 않습니다.

첫 번째 SQL 문만 실행하도록 PHP pdo execute()를 제한하는 방법이 있다면 문제가되지 않습니까?

Answer 1

SQL 삽입을 막으려면 prepare 문이 처리 할 수 ​​있습니다. 당신이 그것을 필요로하지 않는 경우에 당신은 왜 당신이 거기에 그 진술을 둘 것입니다 SQL 주입을

$stmt = $db->prepare("SELECT * FROM table WHERE id=? AND name=?"); 
$stmt->bindValue(1, $id, PDO::PARAM_INT); 
$stmt->bindValue(2, $name, PDO::PARAM_STR); 
$stmt->execute(); 
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);