php - 支持多个查询的PDO(PDO_MYSQL,PDO_MYSQLND)

我知道PDO不支持在一个语句中执行多个查询。 我一直在谷歌,发现很少有关于PDO_MYSQL和PDO_MYSQLND的帖子。

PDO_MySQL更危险   应用程序比任何其他传统   MySQL应用程序。 传统的MySQL   只允许一个SQL查询。 在   PDO_MySQL没有这样的限制,   但你有可能被注射   多个查询。

From:使用PDO和Zend Framework防止SQL注入(2010年6月;作者Julian)

似乎PDO_MYSQL和PDO_MYSQLND确实支持多个查询,但我无法找到有关它们的更多信息。 这些项目是否已停止? 现在有没有办法使用PDO运行多个查询。

Gajus asked 2019-08-13T11:35:00Z
6个解决方案
129 votes

据我所知,PDO::ATTR_EMULATE_PREPARES替换为PHP 5.3中的1。 令人困惑的部分是该名称仍然是$pdo->exec.所以现在ND是MySQL + PDO的默认驱动程序。

总的来说,要一次执行多个查询,您需要:

  • PHP 5.3+
  • mysqlnd
  • 模拟准备好的陈述。 确保PDO::ATTR_EMULATE_PREPARES设置为1(默认值)。 或者,您可以避免使用预准备语句并直接使用$pdo->exec

使用exec

$db = new PDO("mysql:host=localhost;dbname=test", 'root', '');

// works regardless of statements emulation
$db->setAttribute(PDO::ATTR_EMULATE_PREPARES, 0);

$sql = "
DELETE FROM car; 
INSERT INTO car(name, type) VALUES ('car1', 'coupe'); 
INSERT INTO car(name, type) VALUES ('car2', 'coupe');
";

try {
    $db->exec($sql);
}
catch (PDOException $e)
{
    echo $e->getMessage();
    die();
}

使用语句

$db = new PDO("mysql:host=localhost;dbname=test", 'root', '');

// works not with the following set to 0. You can comment this line as 1 is default
$db->setAttribute(PDO::ATTR_EMULATE_PREPARES, 1);

$sql = "
DELETE FROM car; 
INSERT INTO car(name, type) VALUES ('car1', 'coupe'); 
INSERT INTO car(name, type) VALUES ('car2', 'coupe');
";

try {
    $stmt = $db->prepare($sql);
    $stmt->execute();
}
catch (PDOException $e)
{
    echo $e->getMessage();
    die();
}

一张纸条:

使用模拟的预准备语句时,请确保在DSN中设置了正确的编码(反映了实际数据编码)(自5.3.6起可用)。 否则,如果使用某些奇数编码,则SQL注入可能会有轻微的可能性。

Sam Dark answered 2019-08-13T11:36:07Z
17 votes

经过半天的摆弄,发现PDO有一个错误......

-

//This would run as expected:
$pdo->exec("valid-stmt1; valid-stmt2;");

-

//This would error out, as expected:
$pdo->exec("non-sense; valid-stmt1;");

-

//Here is the bug:
$pdo->exec("valid-stmt1; non-sense; valid-stmt3;");

它会执行"non-sense;",在"non-sense;"上停止并且永远不会抛出错误。 不会运行"valid-stmt3;",返回true并说谎一切运行良好。

我希望它在"non-sense;"上出错,但它没有。

这是我发现此信息的地方:无效的PDO查询不会返回错误

这是错误:[https://bugs.php.net/bug.php?id=61613]


所以,我尝试用mysqli做这件事并且没有真正找到任何关于它是如何工作的可靠答案所以我想我只是把它留给那些想要使用它的人。

try{
    // db connection
    $mysqli = new mysqli("host", "user" , "password", "database");
    if($mysqli->connect_errno){
        throw new Exception("Connection Failed: [".$mysqli->connect_errno. "] : ".$mysqli->connect_error );
        exit();
    }

    // read file.
    // This file has multiple sql statements.
    $file_sql = file_get_contents("filename.sql");

    if($file_sql == "null" || empty($file_sql) || strlen($file_sql) <= 0){
        throw new Exception("File is empty. I wont run it..");
    }

    //run the sql file contents through the mysqli's multi_query function.
    // here is where it gets complicated...
    // if the first query has errors, here is where you get it.
    $sqlFileResult = $mysqli->multi_query($file_sql);
    // this returns false only if there are errros on first sql statement, it doesn't care about the rest of the sql statements.

    $sqlCount = 1;
    if( $sqlFileResult == false ){
        throw new Exception("File: '".$fullpath."' , Query#[".$sqlCount."], [".$mysqli->errno."]: '".$mysqli->error."' }");
    }

    // so handle the errors on the subsequent statements like this.
    // while I have more results. This will start from the second sql statement. The first statement errors are thrown above on the $mysqli->multi_query("SQL"); line
    while($mysqli->more_results()){
        $sqlCount++;
        // load the next result set into mysqli's active buffer. if this fails the $mysqli->error, $mysqli->errno will have appropriate error info.
        if($mysqli->next_result() == false){
            throw new Exception("File: '".$fullpath."' , Query#[".$sqlCount."], Error No: [".$mysqli->errno."]: '".$mysqli->error."' }");
        }
    }
}
catch(Exception $e){
    echo $e->getMessage(). " <pre>".$e->getTraceAsString()."</pre>";
}
Sai Phaninder Reddy J answered 2019-08-13T11:37:17Z
4 votes

一种快速而肮脏的方法:

function exec_sql_from_file($path, PDO $pdo) {
    if (! preg_match_all("/('(\\\\.|.)*?'|[^;])+/s", file_get_contents($path), $m))
        return;

    foreach ($m[0] as $sql) {
        if (strlen(trim($sql)))
            $pdo->exec($sql);
    }
}

在合理的SQL语句端点处拆分。 没有错误检查,没有注射保护。 在使用之前了解您的使用方法。 就个人而言,我用它来播种原始迁移文件以进行集成测试。

bishop answered 2019-08-13T11:37:50Z
0 votes

试试这个功能:多个查询和多个值插入。

function employmentStatus($Status) {
$pdo = PDO2::getInstance();

$sql_parts = array(); 
for($i=0; $i<count($Status); $i++){
    $sql_parts[] = "(:userID, :val$i)";
}

$requete = $pdo->dbh->prepare("DELETE FROM employment_status WHERE userid = :userID; INSERT INTO employment_status (userid, status) VALUES ".implode(",", $sql_parts));
$requete->bindParam(":userID", $_SESSION['userID'],PDO::PARAM_INT);
for($i=0; $i<count($Status); $i++){
    $requete->bindParam(":val$i", $Status[$i],PDO::PARAM_STR);
}
if ($requete->execute()) {
    return true;
}
return $requete->errorInfo();
}
hassan b. answered 2019-08-13T11:38:16Z
0 votes

像成千上万的人一样,我正在寻找这个问题:
可以同时运行多个查询,如果有一个错误,则不运行任何查询我到处都是这个页面
但是虽然这里的朋友给出了很好的答案,但这些答案对我的问题并不好
所以我编写了一个运行良好的函数,并且几乎没有sql注入的问题。
对于那些正在寻找类似问题的人来说,这可能会有所帮助,所以我将它们放在这里使用

function arrayOfQuerys($arrayQuery)
{
    $mx = true;
    $conn->beginTransaction();
    try {
        foreach ($arrayQuery AS $item) {
            $stmt = $conn->prepare($item["query"]);
            $stmt->execute($item["params"]);
            $result = $stmt->rowCount();
            if($result == 0)
                $mx = false;
         }
         if($mx == true)
             $conn->commit();
         else
             $conn->rollBack();
    } catch (Exception $e) {
        $conn->rollBack();
        echo "Failed: " . $e->getMessage();
    }
    return $mx;
}

使用(例子):

 $arrayQuery = Array(
    Array(
        "query" => "UPDATE test SET title = ? WHERE test.id = ?",
        "params" => Array("aa1", 1)
    ),
    Array(
        "query" => "UPDATE test SET title = ? WHERE test.id = ?",
        "params" => Array("bb1", 2)
    )
);
arrayOfQuerys($arrayQuery);

和我的联系:

    try {
        $options = array(
            //For updates where newvalue = oldvalue PDOStatement::rowCount()   returns zero. You can use this:
            PDO::MYSQL_ATTR_FOUND_ROWS => true
        );
        $conn = new PDO("mysql:host=$servername;dbname=$database", $username, $password, $options);
        $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    } catch (PDOException $e) {
        echo "Error connecting to SQL Server: " . $e->getMessage();
    }

注意:
此解决方案可帮助您一起运行多个语句,
如果发生不正确的语句,则不执行任何其他语句

mirzaei.sajad answered 2019-08-13T11:39:40Z
-1 votes

尝试以下代码

 $db = new PDO("mysql:host={$dbhost};dbname={$dbname};charset=utf8", $dbuser, $dbpass, array(PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION));

然后

 try {
 $db->query('SET NAMES gbk');
 $stmt = $db->prepare('SELECT * FROM 2_1_paidused WHERE NumberRenamed = ? LIMIT 1');
 $stmt->execute(array("\xbf\x27 OR 1=1 /*"));
 }
 catch (PDOException $e){
 echo "DataBase Errorz: " .$e->getMessage() .'<br>';
 }
 catch (Exception $e) {
 echo "General Errorz: ".$e->getMessage() .'<br>';
 }

得到了

DataBase Errorz: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '/*' LIMIT 1' at line 1

如果在DELETE之后添加SELECT

然后得到空白页

如果相反SELECT尝试DELETE,那么在这两种情况下都得到了错误

 DataBase Errorz: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '* FROM 2_1_paidused WHERE NumberRenamed = '¿\' OR 1=1 /*' LIMIT 1' at line 1

所以我的结论是没有注射可能......

Andris answered 2019-08-13T11:40:44Z
translate from https://stackoverflow.com:/questions/6346674/pdo-support-for-multiple-queries-pdo-mysql-pdo-mysqlnd