[php] PDO MySQL : PDO :: ATTR_EMULATE_PREPARES를 사용합니까?

귀하의 우려에 답하려면

1. MySQL> = 5.1.17 (또는 PREPARE및 EXECUTE문에 대해> = 5.1.21 ) 은 쿼리 캐시에서 준비된 문을 사용할 수 있습니다 . 따라서 MySQL + PHP 버전은 쿼리 캐시와 함께 준비된 문을 사용할 수 있습니다. 그러나 MySQL 문서의 쿼리 결과 캐싱에 대한주의 사항에주의하십시오. 캐시 할 수 없거나 캐시하더라도 쓸모없는 쿼리에는 여러 종류가 있습니다. 내 경험상 쿼리 캐시는 어쨌든 그리 큰 승리는 아닙니다. 쿼리와 스키마는 캐시를 최대한 활용하기 위해 특별한 구성이 필요합니다. 종종 애플리케이션 수준의 캐싱은 결국 장기적으로 필요합니다.

2. 기본 준비는 보안에 아무런 차이가 없습니다. 의사 준비된 명령문은 여전히 ​​쿼리 매개 변수 값을 이스케이프하며 바이너리 프로토콜을 사용하는 MySQL 서버 대신 문자열이있는 PDO 라이브러리에서 수행됩니다. 즉, 동일한 PDO 코드가 EMULATE_PREPARES설정에 관계없이 주입 공격에 똑같이 취약하거나 취약하지 않습니다 . 유일한 차이점은 매개 변수 대체가 EMULATE_PREPARES발생하는 위치입니다.를 사용하면 PDO 라이브러리에서 발생합니다. 없이는 EMULATE_PREPARESMySQL 서버에서 발생합니다.

3. EMULATE_PREPARES그렇지 않으면 실행 시간이 아닌 준비 시간에 구문 오류가 발생할 수 있습니다. 와 EMULATE_PREPARESPDO는 실행 시간까지 MySQL로 제공하는 쿼리를 가지고 있지 않기 때문에에만 실행시 구문 오류를 얻을 것이다. 참고 이것은 당신이 쓸 것 코드에 영향을 미친다 ! 특히 사용하는 경우 PDO::ERRMODE_EXCEPTION!

추가 고려 사항 :

• prepare()(기본 준비된 문 사용 )에는 고정 비용이 있으므로 prepare();execute()기본 준비된 문을 사용하는 경우 에뮬레이트 된 준비된 문을 사용하여 일반 텍스트 쿼리를 실행하는 것보다 약간 느릴 수 있습니다. 많은 데이터베이스 시스템에서 a에 대한 쿼리 계획 prepare()도 캐시되고 여러 연결과 공유 될 수 있지만 MySQL이이를 수행한다고 생각하지 않습니다. 따라서 여러 쿼리에 대해 준비된 문 개체를 재사용하지 않으면 전체 실행 속도가 느려질 수 있습니다.

최종 권장 사항 으로 이전 버전의 MySQL + PHP에서는 준비된 명령문을 에뮬레이션해야한다고 생각하지만 최신 버전에서는 에뮬레이션을 꺼야합니다.

PDO를 사용하는 몇 가지 앱을 작성한 후 가장 좋은 설정이라고 생각하는 PDO 연결 기능을 만들었습니다. 다음과 같은 것을 사용하거나 선호하는 설정을 조정해야합니다.

/**
 * Return PDO handle for a MySQL connection using supplied settings
 *
 * Tries to do the right thing with different php and mysql versions.
 *
 * @param array $settings with keys: host, port, unix_socket, dbname, charset, user, pass. Some may be omitted or NULL.
 * @return PDO
 * @author Francis Avila
 */
function connect_PDO($settings)
{
    $emulate_prepares_below_version = '5.1.17';

    $dsndefaults = array_fill_keys(array('host', 'port', 'unix_socket', 'dbname', 'charset'), null);
    $dsnarr = array_intersect_key($settings, $dsndefaults);
    $dsnarr += $dsndefaults;

    // connection options I like
    $options = array(
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
    );

    // connection charset handling for old php versions
    if ($dsnarr['charset'] and version_compare(PHP_VERSION, '5.3.6', '<')) {
        $options[PDO::MYSQL_ATTR_INIT_COMMAND] = 'SET NAMES '.$dsnarr['charset'];
    }
    $dsnpairs = array();
    foreach ($dsnarr as $k => $v) {
        if ($v===null) continue;
        $dsnpairs[] = "{$k}={$v}";
    }

    $dsn = 'mysql:'.implode(';', $dsnpairs);
    $dbh = new PDO($dsn, $settings['user'], $settings['pass'], $options);

    // Set prepared statement emulation depending on server version
    $serverversion = $dbh->getAttribute(PDO::ATTR_SERVER_VERSION);
    $emulate_prepares = (version_compare($serverversion, $emulate_prepares_below_version, '<'));
    $dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, $emulate_prepares);

    return $dbh;
}

답변

var_dump($dbh->prepare('INSERT;'));
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
var_dump($dbh->prepare('INSERT;'));

object(PDOStatement)#2 (1) {
  ["queryString"]=>
  string(7) "INSERT;"
}
bool(false)