PDO 参数根本不起作用

Question

我正在浏览一些代码并将其中的数据库部分更改为使用 PDO。到目前为止一切正常，除了我准备好的语句中的参数。出于某种原因，下面的代码根本不起作用。这两个 $_GET 变量基本上用于在特定页面上进行排序。查询本身可以在不使用参数的情况下正常工作，如果我在最后手动输入“ORDER BY id DESC”，那也可以正常工作。我似乎无法让它与可变参数一起工作。代码如下：

$sort = $_GET['sort'];
$order = $_GET['order'];
$statement = $db->prepare('SELECT uid, id, fname, lname, ext, uname
  , email, access, created, modified, last_login, enabled 
  FROM users 
  ORDER BY :col :or');
$statement->bindParam(':col', $sort);
$statement->bindParam(':or', $order);
$statement->execute();
$num = $statement->rowCount();

有什么建议吗？

谢谢

Answer 1

当将参数作为参数传递给ORDER BY 子句时，它们被视为文字表达式。如果要按列或别名排序，则需要传递标识符。在 MySQL 中，这些由不带引号的字符串表示，或者最好是用反引号引用的字符串表示，例如

ORDER BY `fname`

同样，方向常数，当存在时必须使用ASC 或DESC 这两个关键字中的任何一个。我不确定如果您尝试使用参数（将被评估为表达式）会发生什么。

---

这是我过去使用允许的可排序列的映射的方法...

$orderCols = array(
    'firstName' => 'fname',
    'lastName'  => 'lname'
);
$sort = isset($_GET['sort'], $orderCols[$_GET['sort']])
    ? $orderCols[$_GET['sort']
    : 'uid'; // some sane default

$order = isset($_GET['order']) && $_GET['order'] == 'DESC'
    ? 'DESC' : 'ASC';

$query = sprintf('SELECT uid, id, fname, lname, ext, uname, email, access, created, modified, last_login, enabled FROM users ORDER BY `%s` %s',
    $sort, $order);
$statement = $db->prepare($query);

Answer 2

使用参数作为伪关键字根本行不通！
这是（部分）使用参数可以防止 SQL 注入攻击的原因。

当然，既然您可以操作字符串，您只需在其中插入“DESC”/“ASC”，重新打开整个 SQL 注入孔。

因此 :col 将不被接受为字段。至于 $order 我会推荐类似的代码

伪代码（不是真正的php）

if uppercase($order) <> 'DESC' then $order = 'ASC';
$query = 'select ... '+ $order;

显式测试将任何注入代码转换回“ASC”，这样可以安全地破解它。

当然，对于字段，您也可以对所有可能的字段名称进行显式测试。只要您确保可能的结果只能是有效字段名称，您就很好，但它是如履薄冰。

警告
现在您（可能）重新开始操作查询字符串，您也重新回到 SQL 注入领域，所以要非常小心您所做的事情。