前言随着数据库参数化查询的方式越来越普遍，SQL注入漏洞较之于以前也大大减少，而PDO作为php中最典型的预编译查询方式，使用越来越广泛。众所周知，PDO是php中防止SQL注入最好的方式，但并不是100%杜绝SQL注入的方式，关键还要看如何使用。之前在一篇文章中了解到PDO场景下参数可控导致的多句执行等问题（https://xz.aliyun.com/t/3950）于是对PDO场景下的SQL注入又进行了一些探究。PDO查询语句可控存在的安全问题：首先在本地新建一个库和表，随便写点东西。然后写一个test
PDO 查询mysql返回字段整型变为String型解决方法使用PDO查询mysql数据库时，执行prepare,execute后，返回的字段数据全都变为字符型。例如id在数据库中是Int的，查询后返回是String型。对于php这种弱类型的语言，影响不大。在做API返回数据时，如果类型与数据库不一致，对于java和Objective C这些强类型，影响就很大了。解决方法：1<?php$pdo =
使用传统的 mysql_connect 、mysql_query方法来连接查询数据库时，如果过滤不严紧，就有SQL注入风险。虽然可以用mysql_real_escape_string()函数过滤用户提交的值，但是也有缺陷。而使用PHP的PDO扩展的 prepare 方法，就可以避免sql injection 风险。PDO(PHP Data Object) 是PHP5新加入的一个重大功能，因为在PHP 5以前的php4/php3都是一堆的数据库扩展来跟各个数据库的连接和处理，如 php_mysql.dll。