中文(繁體)
中文(繁體)
在現代PHP 開發中，安全性是我們必須優先考慮的問題之一，特別是在處理數據庫查詢時。 SQL 注入（SQL Injection ）是一種常見的攻擊方式，攻擊者可以通過注入惡意SQL 代碼來操控數據庫。因此，合理使用Prepared Statements （預處理語句）和PDOStatement::fetchObject方法，可以有效防止這類風險。
PDO （PHP Data Objects）是PHP 官方提供的一種數據庫訪問抽象層，它允許你用一致的方法訪問多種不同的數據庫。
Prepared Statements是PDO 提供的一種機制，允許你先定義SQL 結構，然後再綁定參數，這樣即使用戶輸入了惡意代碼，也不會被當成SQL 執行，從而防止注入攻擊。
示例：
<?php
// 創建 PDO 實例
$pdo = new PDO('mysql:host=localhost;dbname=testdb;charset=utf8mb4', 'username', 'password');
// 使用預處理語句查詢
$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->execute(['id' => $_GET['id']]);
// 獲取結果作為對象
$user = $stmt->fetchObject();
if ($user) {
echo "使用者名稱: " . htmlspecialchars($user->username, ENT_QUOTES, 'UTF-8');
} else {
echo "用戶未找到。";
}
?>
在這個例子中，使用了佔位符:id來綁定參數，PDO 自動處理轉義問題，避免了SQL 注入。
fetchObject方法允許我們直接將查詢結果作為一個對象返回。默認情況下，它返回的是一個匿名的stdClass對象，但你也可以指定一個自定義類來承載數據。
假設我們有一個User類：
<?php
class User {
public $id;
public $username;
public $email;
}
?>
使用fetchObject時指定類名：
<?php
$stmt = $pdo->prepare('SELECT id, username, email FROM users WHERE id = :id');
$stmt->execute(['id' => $_GET['id']]);
$user = $stmt->fetchObject('User');
if ($user) {
echo "歡迎, " . htmlspecialchars($user->username, ENT_QUOTES, 'UTF-8');
}
?>
這樣做的好處是結構更清晰，便於後續擴展，例如可以給User類添加方法進行邏輯處理。
即便使用了PDO 和fetchObject ，仍然需要注意以下幾點：
絕不直接拼接用戶輸入的SQL 語句。
總是使用佔位符（命名佔位符或問號佔位符）並綁定參數。
對輸出到網頁的內容使用htmlspecialchars進行適當的轉義，防止XSS 攻擊。
設置合適的錯誤處理模式，例如：
<?php
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
?>
在開發環境和生產環境之間，區分錯誤輸出策略。生產環境應禁止直接顯示錯誤信息，以防洩露數據庫結構。
一個健壯的系統應該能夠優雅地處理數據庫錯誤。例如：
<?php
try {
$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->execute(['id' => $_GET['id']]);
$user = $stmt->fetchObject('User');
if (!$user) {
header('Location: https://gitbox.net/not-found');
exit;
}
echo "你好, " . htmlspecialchars($user->username, ENT_QUOTES, 'UTF-8');
} catch (PDOException $e) {
error_log($e->getMessage());
header('Location: https://gitbox.net/error');
exit;
}
?>
在這個示例中，我們通過異常處理來捕獲查詢錯誤，並根據情況跳轉到友好的錯誤頁面。
