PHP5.3.6からPDOの文字エンコーディング指定が可能となったがWindows版では不具合（脆弱性）あり - 徳丸浩の日記(2011-03-22)

_PHP5.3.6からPDOの文字エンコーディング指定が可能となったがWindows版では不具合（脆弱性）あり PHP5.3.6からPDO/MySQLにてデータベースの接続文字列にて文字エンコーディングが指定可能となりました。この機能を検証した結果、Linux上では正常な動作を確認しました。Windows版でも一見動作するようですが、動的プレースホルダ内部のエスケープ処理に不備があり、Shift_JISでデータベースと接続している際にSQLインジェクション脆弱性の可能性があります。 きっかけ @haruyamaさんのツイートがきっかけで、PHP5.3.6からPDOの文字エンコーディング指定が有効となったことを知りました。 PHP 5.3.6以降では PDO/MySQLのDSNでのcharset指定が有効になったようです. (MySQL 4.1.11以降, MySQL 5.0.7以降, もし

[mattn]

ある程度予想してたに１票→「予想外の結果となりました。」

[nihen]

追検証の予定 / とりあえず原因判明までhttp://togetter.com/li/117130

[s_mori]

PDO

[Chisei]

charset=utf8

[anoncom]

5.3.6から改善されてたんだ。Windowsでは使ってないからとりあえずはいいけど、留意しておこう。

[mumincacao]

PDO でも接続時に文字こーどの指定ができるようになったですか・・・本番さいとで PHP5.3 系使えるようになるまでに原因見つけて修正できるかなぁ？ 〆（ーｘ【みかん

[ockeghem]

日記書いた